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Menschliches Fehlverhalten: Ein Kernproblem der Kernkraftwerke? 


D. Smidt 


l. Einleitung 





Die vom amerikanischen Präsidenten eingesetzte Kemeny-Kommission sagt 


in ihrem Bericht /1/ über den Vorfall in der Anlage TMI-2: "Die Ausrüstung 
der Anlage war ausreichend gut, so daß ohne menschliches Fehlverhalten der 
schwerwiegende Unfall von TMI nur ein kleinerer Zwischenfall gewesen wáre. 
Aber, wo immer wir hinschauten, fanden wir Probleme mit den Menschen, die 

die Anlage in Betrieb halten, mit dem Management, das die Schlüsselorgani- 
sation leitet und mit der Behórde, die die Sicherheit von Kernkrai *werken 


zu vertreten hat." 


Folgerichtig gibt die Kommission ein Biindel von Empfehlungen zum Sektor 
menschliches Fehlverhalten, und entsprechend šuñert sich auch die von 

der NRC selbst eingesetzte Rogovin-Kommission /2/. Auf einer Tagung iiber 
die Sicherheit thermischer Reaktoren im April dieses Jahres in Knoxville 
gab es dann auch zahlreiche Beitrüge über den menschlichen Faktor, aber 


keinen einzigen über mógliche technische Verbesserungen. 


Ich möchte gleich zu Beginn sagen, daß ich der These vom reinen menschlichen 
Versagen entschieden widerspreche. Man könnte sogar, und ich werde später 
einige Hinweise dazu geben, eine der Femeny-Kommission diametral entgegen- 
gesetzte Schlußfolgerung ableiten im Sinne: "Hätte die Anlage in TMI eine 
zufriedenstellende Technik gehabt, so wäre es auch bei gleichen menschl chen 


Fehlleistungen nicht zu diesen Folgen gekommen." 


Im Hinblick auf eine unzureichende Technik gilt das sogenannte Gesetz von 
Murphy: "Wenn etwas schiefgehen kann, dann geht es auch schief." m: 
Umgekehrt gilt natürlich euch, daß selbst die beste Technik nicht auf die 
Dauer ohne den Menschen funktionieren kann. Wir kónnen keinen der Aspekte 


isoliert betrachten, sondern müssen eine integrale Methcdik entwickeln. 















In den letzten Jahren ist viel mehr oder weniger Programmatisches über 
die sog. S:hnittstelle Mensch - Maschine im Zusammenhang mit der Reaktor- 
sicherheit gesagt worden und die Ergonomen kommen zunehmend in die Kern- 
kraftwerke. Aber auch hier ist keine isolierte Behandlung zulässig, und 
man muß die tiefliegenden Strukturen nicht nur der Technik, die wir kennen, 
sondern auch des menschlichen Verhaltens einschließlich der Verbindungs- 


stelle genauer herausarbeiten. 


Wáhrend die Verhaltensmuster der technischen Anlage heute aber bekannt und 
durch die probabilistischen Studien gut beschreibbar sind, haftet der menschli- 
chen Seite das Odium der Unberechenbarkeit und somit auch Unregierbarkeit 

an. Deshalb móchte ich in diesem Vortrag hierauf etwas ausführlicner ein- 
gehen, ohne die technischen Aspekte aus dem Auge zu verlieren und mich 


so dem gleichen Vorwurf wie unsere amerikanischen Kollegen auszusetzen. 


Zuerst móchte ich die Rolle des Menschen im Kernkraftwerk genauer definie- 
ren, um dann auf die Struktur seines taktischen und strategischen Fehlver- 
haltens genauer einzugehen. Auf eine Diskussion der taktischen Fehler und 
ihrer Vermeidung folgt ein Bericht über den Iststand der Anlagent -chnik 

und möglicher Verbesserungen. Dann schließt sich eine Untersuchung der stra- 
tegischen Fehler an, bis wir zu den heute schon angebbaren Schlußfolgerun- 
gen kommen. Es sollte deutlich gesagt werden, daß meine Aussagen nur eine 
erste Náherung darstellen kónnen und vertiefende und erweiternde Arbeiten noch 


bevorstehen. 


2. Die Rolle des Menschen im Kernkraftwerk und die allgemeine Struktur 
seines Fehlverhaltens 





Kernkraftwerke sind heute, in der Bundesrepublik mehr als in den USA, 
weitgehend automatisiert. Dies gilt vordringiich für die Sicherheitssysteme, 
d. h. für die Funktionen des Abschaltens und der autarken Nachwürmeabfuhr bzw. 
auch des Kühlmittelersatzes bei Lecks. Hierzu verlangen die KTA-Regeln 
3501 und 3701.1 einen vollautomatischen Ablauf ohne Eingreifen des Betriebs- 


personals für die ersten 30 Minuten nach Beginn der Stórung oder des Stóríalls. 











Alle Sicherheits- und Betriebsfunktionen werden in der Ebene unter der 






übergeordneten Sicherheitsautomatik durch die sog. Funktionsgruppensteuerung 







geführt, eine Art Halbautomatik, die im Prinzip vom Operateur lediglich das 






Ein- und Ausschalten und ggf. die Vorgabe von Sollwerten erfordert, wobei 










er sich um untergeordnete Funktionen, wie die Schmierung von Pumpen oder 





Motoren, die Sperrwasserversorgung von Pumpen, die Kühlwasserversorgung von 







Dieselaggregaten und dergl. nicht unmittelbar zu kümmern braucht. Auch das 
ist eine in den USA nicht allgemein übliche Praxis. Der direkte Betrieb des 


Kraftwerkes kann sich also auf eine große Zahl von untergeordneten Regelkrei- 








sen abstützen. 











Welche Funktionen hat nun hier der Mensch? 







Vom Grundsatz her hat er zwei deutlich unterscheidbare Aufgaben (Abb. 1): 












a) Die Überwachung und Instandhaltung der allgemeinen Funktionsfáhigkeit und 








Funktionsbereitschaft des Systems einschlieBlich seiner vielschichtigen 





Automatik. Das reicht von der Durchführung komplexer Testverfahren bis zum 





Auswechseln ausgebrannter Glühbirnen am Kontrollpult. Die hier erforderli- 





chen Prozeduren sind genau vorgeschrieben und erfordern neben dem Verständ- 





nis für ihre Bedeutung vor allem Zuverlässigkeit und Genauigkeit. 






















b) Den Betrieb des Systems mit Anfahren, Leistungsbetrieb, Abfahren mit den 











zahlreichen daraus abgeleiteten Tätigkeiten, wie Abbrandkontrolle, Wasser- 


aufbereitung. Abgas- und Abwasserkontrolle usw. Einige dieser Tätigkeiten, 





wie insbesondere das Anfahren k=nnen auch vollautomatisch durchgeführt wer- 





den, allerdings mit einer Automatik ohne die Redundanz der Sicherheits- 





automatik. Sie wird aus verschiedenen Gründen allerdings selten benutzt. 





Mit den beim Betrieb auftretenden Stórungen sollte das Personal fertig 





werden, móglichst bevor die automatischen Sicherheitssysteme eingreifen. 






Hier muß der Operateur die aus den vielen einzelnen Instrumenten ables- 


baren Teilinformationea in ein Vorstellungsbild des gesamten Systems 





integrieren und dessen Zustand samt den nun erforderlichen Aktionen daraus 





ableiten. Die hier erforderliche Integrations- und Vorstellungskraft móchte 






ich SystembewuBtsein rennen. Dessen Grundoperationen sind prinzipiell die 








gleichen wie sie im Reaktorschutzsystem realisiert sind: Einzelne Signale, 











wie Neutronenfluß, Temperatur, Druck, Durchsatz usw., werden, evtl. 

nach vorheriger Filterung im Prinzip durch die Operationen des logi- 

schen "und" bzw. "oder" zu Systemzuständen. wie Überleistung, Lastab- 

wurf oder Kühlmittelverlust, verbunden und in entsprechende Aktionen umge- 
wandelt. Abb. 2 zeigt deshalb eine total verkehrte Situation, wo zwar 
Aktionen, aber keine Diagnose möglich sind /3/. Nun erwarten wir vom Men- 
schen, daß er in bestimmten Situationen komplexere Zusammenhänge als eine 
Automatik überblicken uad verwerten kann. So arbeitet er dort, wo 
matik aus Sicherheitsgründen nicht erforderlich 1St, aber auch an jener 
Grenze, wo die Risikostudien mit geringer Wahrscheinlichkeit ein Versagen 
der Sicherheitsautomatik erwarten und eine Kernschmeize voraussagen. Hier 


kann der mensch mit seinem Systembewußtsein dazwischentreten und genav die- 


se Voraussage widerlegen. So geschah es ganz sicher bei dem berüchti 


Leten 


© a 


Kabelbrand von Browns Ferry und letztlich und endlich auch, trotz anfäne- 


licher Fehler, in TMI. 


Ich móchte mich im Folgenden deshalb nur noch mit der zweiten Anforderung 


an den Menschen, dem SystembewuBtsein, befassen. 


Nun zur allgemeinen Struktur des menschlichen Fehlverhaltens. In unab- 
hángigen Arbeiten haben E. Zebroski, der Leiter des Safety Anaiysis 
Center von EPRI und ich zwei verschiedene Muster des Fehlverhaltens un- 
unterschieden /4,5/. Ich móchte aber hier die Nomenklatur von Zebroski 


verwenden, weil sie mir besser gefällt. 


Wir unterscheiden: 


der Operateur eine singuläre falsche Handlung oder falsche Instrumenten- 
ablesung macht. Das kann durch Unaufmerksamkeit, Ablenkung oder anderes 
verur acht sein. Der wichtige Punkt ist, daß er dies unkorreliert zu sei- 


nen sonst korrekt ausgeführten Aufgaben tut, so daß man auch von einem 


| i hler i ersonal konsequent vor 
b) den strategischen Fehler, bei dem das Betriebsp 


* ° . - » " $ , " n ' i T be 1 
[ l f msbewuBtsein, ausgeht. Da 
falschen Szenario, einem falschen Situatic 
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tuhrt es einen bestimmten Alarm vielleicht auf eire falsche Ursache 
v 


zurück, glaubt nicht der Anzeige eines bestimmten Instruments und hält 


auch dann noch daran fest, wenn die Situation deutlich problematisch 


wird. Das bekannteste Beispiel für Strategisches Fehlverhalten ist si- 


cherlich TMI, aber es gibt auch kleinere Beispiele dieser Art bei uns 


und vor allem aus dem Flugverkehr, wo die Piloten mit ungeheurer Hart- 


náckigkeit und unter MiBachtung von Instrumenten und Alarmen ikre Maschi- 


nen samt Passagieren zum Absturz brachten. 


Beide Fehlertypen und die erforderliche Gegenstrategie sollen anschließend 


genauer behandelt werden. 


3. Taktisches Fehlverhalten 


r — — — 





laktısches Fehiverhalten wird im wesentlichen durch eine schlechte Maschine 


ermöglicht und kann sich dort auch zu Schiimmen Folgen auswachsen. Mit dem 


e I wp f 
Terminus "schlechte Maschine" meine ich eine Anlage mit 


a) schlechtem Sicherheitskonzept, das dem Menschen zu viele und womöglich 
einander widersprechende Sicherheitsaufgaben in zu kurzer Zeit auflädt 
- & A i 


b) oder schlechtem Interface zum Menschen, 





I i ` Í | 
also einem schlechten Wartenkonzept. 






£u a) glaube ich, 





- ^ Í ^A y : ~ : 7 ` 
daß das schon erwähnte Automat ıikkonzept eine zuiriedenstellen- 







de Lösung darstellt. 










Zu b) 





» dem Interface, ist eine besonders umfassende Arbeit 





über Kernkraftwerks- 





warten in den USA im Auftrag des EPRI durchgeführt worden 





und ;3?7 erschienen /6 





Das Ergebnis ist einigermaßen be unruhigend 


Tah =- > $ 
— =.. -— á- > 





iere ais Beispiel einige Aus- 






sagen: 







Möglichkeit unbeabsichtigier Aktionen, weii die Kontrollelemente 





'dentisches 







Aussehen, Form und Textur bei 





unterschiedlicher Funktion haben 










setatigungsmoógl?chkeit durch zufálliges Berühren 











~ zu großes, unübersichtliches Schaltpult (Abb. 3) 



















- korrelierte Funktionen werden an weit voneinander entfernten Stellen 
ausgeführt (Abb. 4). Die beiden Operateure weisen auf das Speisewasser- 


regelventil und das Speisewasser-bsperrventil. 


- instrumente und zugehörige Steuerhandgriffe sind zu weit voneinander ent- 


fernt 
- Anzeigeinstrumente oder -tafeln an vnzugánglichen Stellen (Abb. 5) 


- Bei Kontrollräumen, voz denen aus zwei Anlagen gefahren werden, ist das 


Schaltpult der einen Anlage spiegelbildlich zum Schaltpult der anderen 






Anlage aufgebaut. 







- Das Personal mu8 sich an eine Vielzahl von undifferenzierten Alarmen ge- 


wöhnen (Abb. 6). 














Man sollte natürlich eines nicht vergessen: Viele der aufgezeigten Probleme 





sind sicherheitstechnisch weniger bedeutsam, da sie keine Sicherheitsfunktionen 






betreffen. Eine derartige Wertung kann von Ergonomen allein nicht verlangt 





werden. Trotzdem muß vieles geändert werden. 








in unseren Anlagen sieht es besser aus als in den genannten Beispielen. Die 





erwáhnte Funktionsgruppensteuerung in Verbindung mit miniaturisierten Steuer- 





elementen in einer Barsteintechnik erlaubt eine übersichtlichere, kompaktere 





Anordnung der sich»;heitstechnisch wichtigen Elemente. Zusätzliche Freigabe- 





tasten verhindern eine ungewollte Fehlbetätigung. Integrierte Flie8schemata, 






die Anordnung an leicht ablesbarer Stelle, eine geordnete Struktur der Alarne 





auf dem Rechner und andere Merkmale zeigen die ergonomischen Fortschritte. 





Abb. 7 zeigt das sogen. F"ahrpult eines Kernkraftwerks der mittleren Generziion. 






Auf einer Lánge von etwa á m sind alle für den Betrieb erforderlichen Furikt ionen 






untergebracht; die übr:gen Funktionen befinden sich davon getrennt im hier 






nicht gezeigten sogen. Steuerpult. Die Diagnose des Anlagenzustandes wird durch 






den Rechner und eine alphanumerische Bildschirmdarstellung unterstützt. Abb. 8 






zeigt einen Ausschnitt, aus dem die Bausteintechnik, Druckknopfschalter und die 






funktionale Zuordnuug durch Blindschaltbilder hervorgehen. Abb. 9 zeigt ein 






neueres Wartenmodell mit verstärkter, auch graphischer Bildschirmda-steilung 






und ausgefe?lter ergonomischer Gestaltung. Natürlich sind hier noch Verbesserun- 






gen im Detail móglich und geplant, doch bilden sie sicher kein "Kernproblem" 






im Sinne dieses Vortrages. Ich móchte hier deshalb darauf nicht weiter eingehen. 






Auch die amerikanischen Hersteller legen heute übrigens hervorragende Konzepte 






vor. 





Über alles hinaus gilt das Prinzip, das man den ersten Hauptsatz der Anthro- 


potechnik im Kernkraftwerk nennen kann: Daß in keinem Fall taktische Fehler 





die Anlage in einen gefährlichen, nicht mehr beherrschbaren Zustand bringen 





dürfen. Die Erfüllung dieses Prinzips wird einerseits durch den automatischen 





Sicherheitsschirm gewährleistet, andererseits dadurch, daß etwa im Vergleich 


zum Flugzeug unbeherrschbare Situationen sich meist langsam, größtenteils mit 


Leitkonstanten von ! bis 2 Stunden ausbilden, so daß Zeit für Korrekturen besteht. 


4. Technische Verbesserungen 





Bevor ich nun von den taktischen zu den strategischen Fehlern komme, móchte 
ich einige technische Aspekte darstellen, damit der integrale Zusammenhang 


nicht verlorengeht. 






Nach dem TMi-Ereignis sind bei uns alle Anlagen noch einmal untersucht wor- 
den, wie sie bei entsprechenden Vorkommnissen reagiert hätten,und ob dies 
auch unter anderen als den speziellen TMI-Randbedingungen gegolten hätte. 
Einige der bei uns verfolgten Auslegungsstrategien haben dabei eine sehr 


allgemeine Bedeutung. Ich darf sie nochmals aufzählen (s. auch /7/): 


a) Ein gutmütiges Transientenverhalten lá8t es bei solchen Stórungen im 
Speisewassersystem, wie sie in TMI am Anfang standen, gar nicht zum 
Offnen des Entlastungsventils kommen. Man kann das beeinflussen, indem 
man festle;t, von welcher Stelle und wann das Schnellabschaltsystem 


seinen automatischen Aktionsbefehl bekommt. 


b) Sicherheitseingriffe dürfen niemals ein Unsicherheitspotential haben, 
das die Mannschaft zu rechzeitigem Abschalten des betreffenden Sicher- 
heitssystems zwingt. Dennoch ist bei vielen US-Anlagen, wie auch TMI, der 
von der Hochdrucksicberheitseinspeisepumpe gelieferte Druck hóher als der An- 
sprechdruck des Entlastungsventils am Druckhalter. Bei zu langem Betrieb 
hätte sich dieses also öffnen können und einen Kühlaittelverlust bewirkt 
- daß es schon offen war, wußte man ja nicht. Das ist nach meiner Kennt- 
nis der technische Grund für die im Training eingehümmerte Weisung, auf 
gar keinen Fall den Wasserspiegel im Druckhalter zu hoch ansteigen zu las- 
sen. Und so wird auch im Betriebshandbuch gestanden haben, daß unter be- 
stimmten Bedingungen nur dieser Wasserstand für das Abschalten der Pumpen 
maßgebend sei. Die Operateure in TMI mögen manches faisc4 gemacht haben, 
hier haben sie mit dem von den Untersuchungskommissionen gerügten Drosseln 
der Notkühlpumpen wohl nach Vorschrift gehandelt. Das steht leider aber in 


keinem der Berichte. 









c) Es war eine, der frühen Erfolge der Deutschen Risikostudie (von "errn 


a) 


Mit diesen Argumenten im Hintergrund habe ich zu Beginn dieses Vortrages | i) 








Birkhofer), daß die Schwachstelle Eatlastungsventil erkannt und durch g) Sicherheitseigenschaf: 


Automatisierung der Schließfunktion eines Vorventils beseitigt wurde. - Im PKL der KW wird 


; Sštti i 
Als vierte und wiederum unabhängige Gegenmaßnahme hätte das bei uns vor- ıgungsbedingunge 


geschriebene und teilweise automatisierte Abkühlen des Sekundärkreises h) Anlagenbetrieb, spezie 
ebenfalls vor Eintritt der Schàden im Kern ein Wiederauffüllen des Pri- 
märkreises ermöglicht. Das gilt ebenso für alle anderen Störfälle mit 


kleinen Lecks. 


- Verbesserte Software 
- Weiterführung des be 


- Studien zu einer ext 


Unfallfolgenbegrenzung 


der Kemeny-These vom reinen menschlichen Versagen bei TMI widersprochen. 


Die Arbeiten der letzt 


Darüberhinaus hat die RSK aber über weitere technische Maßnahmen beraten, unfall die Aktivitütsf 
am unter dem TMI-Aspekt die technische Reaktorsicherheit weiter zu verbes- Durchschmelzen des Con 
sern. Lassen Sie mich die vichtigscen Punkte aufzählen: durch das Überdruckver: 


e) 


f) 


gebildeten Wasserdampf: 


Verbesserte Instrumentierung und Diagnostik im Primärkreis bei uns üblichen Stahlc 


- Detektierung des unterkühlten oder gesättigten Zustandes durch Auswer- raum) verhindert und sc 


tung der verfügbaren Daten über Druck und Temperatur. Entsprechende unterbunden werden. Der 


Einrichtungen werden demächst installiert. hoch genug bleiben, um 
- Verbesserte Temperat-ırüberwachung des Kerns durch Ausdehnung des Meßbe- zielbare Zeitgewinn kom 
reiches der verfügbaren Thermoelemente. | 


5. Strategisches Fehlverha 





- Direkte Anzeige des Wasserstandes im Reaktordruckbehälter. Ein entspre- 


chender Detektor wird in der PKL-Anlage der KWU getestet. Beim strategischen Fehl ver! 


- Bildschirmdarstellung des Zustandes des Primšrsystems durch einen Rech- falschen Situationsverst dn 
ner. Ist in Entwicklung. 8. Mai 1978 befand sich eii 
den kleinen Flughafen von ! 

Verbesserte  Sicherheitssysteme Kommunikationsproblem mit d 
- Verfügbarkeit der Hochdruck-Sicherheitseinspeicung auch im sog. Sumpf- | ihre Landeroutine spüter al 
betrieb nach Erschópfung des Wasserinhaltes der Flutbehdlter. E Folge an ihrer "inneren Uhr 
beitete seine Checkliste ab 
rufen sollen, beobachtete n 


Wasserflüche. Ihrem Gefühl : 


- Verbesserte, ternbet&tigte Entgasung von Druckbehälter und Primürkreis. 
- Untersuchungen über einen verbesserten Abschluß des Sicherheitsbehälters. 


akustische Alarm, der auf e 
das Signal aber auf eine zu 
Hóhe zurück und korrigierte 


blicken. Der Flugingenieur : 
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ten ^er Anlage 


das Naturumlaufverhalten des Primärkreises unter 
In untersucht. 


ll unter gestörten Bedingungen 


' für das Simulatortraining unter Stórfallbedingungen 
reits begonnenen Stórfallfolgenrechners 


ernen Informationsdarstel lung 


en Jahre haben ergeben, da8 nach einem Kernschmelz- 
reisetzung in die Umgebung nicht so sehr durch ein 
tainment fundament s (China-Syndrom), als vielmehr 
sagen des Containments als Folge des aus dem Beton 

'S bestimmt wird. Dieser Druckaufbau kann bei den 
ontainments durch ein Besprühen von außen (im Ring- 
das Containmentversagen stark verzögert oder sogar 
 Wasserdampfgehalt im Containment sollte allerdings 
eine Wasserstoffreaktion zu unterdrücken. Der so er- 
mt den Not fal lschut zmaßnahmen zugute. 


lten 





halten fol,;c die Betriebsmannschaft kons.quent einem 


inis. Hierzu ein Beispiel /8/: Am spüten Abend des 


ie Boeing 727 der National Airlines im Anflug auf 


'ensaccia, Florida. Durch ein an Sich unbedeutendes 
em órtlichen Radar-Operateur begann die Besatzung 
s gewöhnlich, orientierte sich zeitlich aber in der 


. Der Pilot hatte die Steuerung übernommen und ar- 
» der Kopiiot, der laufend die Flughóhe hätte aus- 
och den einzigen Lichtpunkt auf der sonst schwarzen 
nach waren sie noch sehr hoch oben. Da ertónte der 
ine zu niedrige Höhe hinwies. Der Pilot führte 

hohe Sinkgeschwindigkeit, statt auf zu geringe 
erstere, ohne auch nur auf den Hóhenmesser zu 


ichaltete den Alarm daraufhin ab, wodurch Sich 





der Pilot wieder in seiner Annahme bestátigt sah. Wenige Sekunden spáter 


erfolgte die Bruchlandung im glücklicherweise hie: flachen Wasser. 


Ich hatte das Systembewußtsein als die Fähigkeit definiert, einzelne Sig- 
nale in Verbindung mit der gespeicherten Erfahrung durch logische Operatio- 
nen zu einem Vorstellungsbild des Systemzustandes zu integrieren. An dieser 


Stelle ist nun speziell die Operation des Filterns zu nennen, die ebenso 





wichtig ist und durch die die relevante von der irrelevanten Information 
getrennt wird. Ohne diese Operation würe der Mensch so handlungsunfáhig wie 
der berühmte Esel zwischen den beiden Heubündeln, weil er sich nie auf die 


Signale konzentrieren kónnte, die sein vordringliches Agieren erfordern. 


Die Filterung ist ganz offenbar nicht immer ein bewußter Prozeß. Das genann- 

te Beispiel aus der Luftfahrt zeigt, da8 sie unter Umstánden auch lebenswich- 
tige Informationen unterdrücken kann. In TMi winkte der leitende Elektroinge- 
nieur ab, als zwei Techniker übermäßig hohe Coretemperaturen gemessen hatten 

/2/, weil eben nicht sein konnte, was nicht sein durfte. Ebenso wurden posi- 
tive Aktionen, wie das Offnen der Speisewasserventile, das Schließen des Vor- 
ventils am Druckhalter und das schließliche Überführen in den sicheren Nach- 

kühlbetrieb jeweils von außen bzw. durch neu hinzukommende Leute angeregt, 


weil die Mannschaft innen offenbar auf ein zu enges Systembild fixiert war. 


Bestimmte Gewohnheiten oder Routinen, fehlende Erfahrung, aber auch Streß füh- 
ren zu solchen Erscheinungen. Blum und Sargent /9/ unterscheiden in diesem Zu- 
sammenhang zwei unterschiedliche Verhaltensformen (Abb. 10): Den normalen, 
flexiblen aktualisierenden Modus (A-Modus) und den unflexiblen programmierten 
Modus (P-Modus), auf den der Mensch besonders unter Stress übergehen kann. 
Während im A-Modus der Mensch in der Lage ist, vielfache Optionen zu prüfen 





und auch wieder in Frage zu stellen, rastet er im P-Modus in eine einzige, 
früher gelernte Verhaltensweise ein und ist starr auf eine einzi,;e Interpreta- 


tion der Ereignisse fixiert, sei sie nun richtig oder nicht. Das mag Vorteile 


haben gegenüber einem zähnefletschenden Tiger oder in einem schleudernden Auto, 


wo schnellstes Handeln erforderlich ist, nicht aber in einer sich entwickelnden 


Reaktorkrise. 


- 9 — 


Der Übergang o den starren P-Modus vollzieht sich für den Betroffenen unbe- 
merkt; und wenn er dann die Verkehrtheit seines Tuns entdeckt, lähmt ihn die 


damit verbundene Angst erst recht. Das Team kann den Einzelnen aus diesem 


Festgefahrensein herausreißen, kann aber auch "angesteckt" werden und dies 


Verhalten eher verstärken. 


Es ist aber auch erwiesen, daß Stress nicht in dieser Weise lähmen muß, 


das zeigen die Raumfahrtexperimente, das zeigte aber auch die Mannschaft 


von Browns Ferry, die kaltblütig neue Stromkabel für Ventile verlegte, 
als curch den Kabelbrand die Nachwürmeabfuhr für eine Reaktor praktisch 


ausgefallen war. 


Was kann man nun gegen das strategische Fehlverhalten tun? 


a) Zunächst sei noch einmal daran erinnert, daß nach der ir Kap. 4 beschriebe- 


b) 


c) 


nen Vorgehensweise das technische Sicherheitskonzept uud die Automatik 
einen Fallschirm bilden, der im Gegensatz zum Flugzeug und praktisch un- 
abhängig vom Menschen das System auch unter ungünstigen Bedingungen noch 
landen läßt. Da hier im Prinzip ja nichts weiter gewährleistet werden muß, 
als das Core abgeschaltet und mit Wasser bedeckt zu halten, ist diese Auf- 
gabe physikalisch einfach und übersichtlich. 


Die Verbindungstelle Kraftwerk - Mensch ist bei uns heute gut durchdacht. 

Ich habe einige weiterführende Entwicklungen genannt, die noch klarere und 
direktere Informationen über den Systemzustand liefern. Es ist bekannt, daf 
strategische Fehler nicht zuletzt auch durch erratische Information eingelei- 
tet werden, wenn der Mensch, wie in TMI, vor einem System steht, das völlig 
unvorhersehbar auf Aktionen reagiert. Der hier P-Modus genannte Zustand ein- 
geschränkter Handlungsfähigkeit wird z. B. von den Technikern der Gehirn- 
wäsche durch absichtlich unberechenbares Verhalten bewirkt und ist vorher auch 
schon durch Pawlow an Hunden studiert worden. Deshalb ist gute Informations- 
darbietung auch unter diesem psychologischen Aspekt wichtig. Auch hier könnte 


man Browns Ferry, wo die Diagnose v.n Anfang an klar war, von TMI unterscheiden. 


Die Betriebsmannschaft ist technisch gut geschult und hat Erfahrungen an der 
Anlage und am Simulator gesammelt. Zudem verfolgen die Kraftwerksbetreiber das 


Konzept, da8 bei Stórungen schr rasch eine zusützliche und in Bezug auf die Vor- 


geschichte "frische" Eingreifreserve besonders qualifizierter Ingenieure bereit- 
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steht. Dennoch sollte die Schulung im Hinblick auf das strategische Ver- 
halten und Fehlverhalten des Menschen noch gezielter vertieft werden. Ge- 
rade hier, hinter der Automatik, hat, sicherlich im Bereicn sehr geringer 
Wahrscheinlichkeiten, die "Schutzbarriere Mensch" ihre besondere Bedeutung. 
Abb. 11 listet die wesentlichen Punkte auf. 


An noch weiter verbesserten Methoden zur Diagnosehilfe unter Zuhilfenahme von 
Rechnern wird an verschiedenen Stellen gearbeitet. Einiges haben wir in Abb. 5 
gesehen. Ich móchte deshalb nicht weiter darauf eingehen. 


Auf dem Gebiet der Personalauswahl fordern die Behörden heute unter am.erenm, 


da8 nur noch ingenieure und nicht mehr vie früher Kraftwerksmeister als Schicht- 


leiter eingesetzt werden sollen. Das ist im Grundsatz ein Schritt in die erwünsch- 


te Richtung auf die Befühigung zum flexiblen, operationalen Systemdenken lin. 
Aber wie zuverlässig diese Fähigkeit mit der Ingenieursausbildung der heute 
meist aus der Oberschule kommenden Studenten korreliert ist, bedarf weiterer 
Klärung. 


Die Lufthansa etwa unterzieht ihre Pilotenbewerber sehr ausführlichen Befähi- 
gungstests, die teilweise auch das Attribut "psychologisch" verdienen. Entspre- 
chende Tests werden auch für Schichtleiter und Betriebspersonal erwogen. Man 
sollte allerdings dazu wissen, daß die Luftlinien diese Tests nicht in erster 
Linie durchführen, um das Fliegen sicherer zu machen, sondern um die beträcht- 
lichen Ausbildungskosten für die 90 Z der Bewerber zu sparen, die aus den ver- 
schiedensten Gründen nicht geeignet sind. Die endgültige Auswahl wird erst 
durch die Ausbildungsergebnisse bestimmt. Bei der Ausbildung des Wartenperso- 
nals ist die Ausfallquote wesentlich geringer,und die Ausbildungskosten fallen 
nicht sehr ins Gewicht. Die Kraftwerksbetreiber halten deshalb zusätzliche, 
auch psychologisch orientierte Eingangstests nicht für erforderlich. Da solche 
Tests immer durch die prak-ische Erfahrung in der Ausbildung verifiziert wer- 
den müssen, können sie in der Tat per definitionem nicht besser sein als diese. 
Dennoch sollten wir in diesem Zusammenhang die Rolle des Menschen im weitgehend 
automatisierten Kraftwerk mit noch mehr Detail definieren und, vielleicht auch 
über Tests, die über das reine Fachwissen hinausgehenden Aspekte stärker forma- 


lisieren. 
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Ahnliches gilt fiir das weitere Training. Über die regelmš8ig wieder 
beit am Simulator hinaus sollten wir zusätzliche Methoden für ein d 
Systemtraining mit Einübung einer rationalen Hypothesenprüfung entw 
sollten neben der Schicht aucl die Ingenieure de- Betriebsleitungsb 
einbezogen werden, die im Ernstfall ja dabei sind und damit auch in 


dynamische Spannungsfeld hineinkommen. 


Eine so noch weiter entwickelte professionale Souveränität in der D: 
ungewohnter Situationen und die Übung, alle Arbeitshypothesen zu pri 
ist sicherlich eine wesentliche Voraussetzung für das Unterlaufen kc 


Blockaden. Aber auch die spezielle Schulung sollte weiter entwickelt 


Meine Damen und Herren, damit komme ich zum Schluß. Wenn wir zuerst 


technische Anlagenkonzept in Richtung heute wohlbekannter Grundsätze 
machen, wenn wir die Verbindungsstelle zwischen Maschine und Mensch 

heutigen Erkenntnissen gestalten, und wenn wir schließlich auch die 

und psychologischen Stärken und Schwächen des Menschen voll einsehen 
ausgewogener Weise berücksichtigen, wird das menschliche Fehlverhalt 
Kernproblem im Kernkraftwerk sein. 
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The President's Commission on the Accident at Three Mile 
Island. Washington, D. C., Oct. 1979 


Three Mile Island, A Report to the Commissioner's and to the 
Public. M. Rogovin, Director, Washington, D. C., January 1980 










Private Mitteilung Prof. Edsberg,Halden 


E. Zebroski, The Accident at Three Mile Island, Conference 
Power Stations, Salzburg, Üsterreich, 4. Okt. 1979 


Systembewußitsein ? 


D. Smidt, Reak'orsicherheit und menschliche Unzulänglichkeit, 
Naturwissenschaften 66, 593 - 600, (1979) 
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P aan Factor Review of Nuclear Power Plant Control Room Design, 
EPRI-NP-309-SY November 1976 


GroBe gleich ausssehende Schaltelemente 


geben große unübersichtliche Anordnungen 





D. Smidt, Reactor Safety after TMI, 
German-Brazilian Reactor Safety Conference, 


Rio de Janeiro, June 1980 
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Normalbetrieb und Störungen 


























National Transportation Safety Board, 
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R. B. Blum, T. O. Sargent, Use of the Bimodal Theory in Reactor 
Crisis, ANS Topical Meeting on Thermal Reactor Safety, 
Knoxville, Tenn., April 1980 
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Abb. 2 (nach Edsberg, Halden) Abb. 4: 














Die Position der Operateure zeigt die Entfernung zwischen Speisewasser- 






abschiu8- und Speisewasserregelventilen 
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Abb. 9 










Ausführungsformen von 









Warten in deutschen 





Kernkraftwerken 










Abb. 6: 





Das Personal mu8 mit vielen gleichzeitigen Alarmen leben 
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Spaltproduktverbindungen 
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ngefallen sind, auf eine Auswahl aus 
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Das Arbeitsprogramm des Projektes Nukleare Sicherheit unter- 
gliedert sich in folgende Arbeitsschwerpunkte: 













I. Dynamische Beanspruchung von Reaktorkomponenten bei 
Störfällen 









In diesem Arbeitsschwerpunkt werden u.a. im Rahmen der HDR- 
Blow-down-Versuche, die fluid- und strukturdynamischen Aus- 
wirkungen von Kühlmittelverluststörfällen auf Reaktorkomponenten 
untersucht, sowie fortgeschrittene Rechenprogramme zur Beschrei- 
bung der fluid-strukturdynamischen Vorgänge entwickelt und mit 
Hilfe der Versuchsergebnisse verifiziert. 











R. Krieg und U. Schumann berichten in ihrem Vortrag "Methoden 
zur Fluid- und Strukturdynamik bei der Analy:? von Störfällen 
in LWR" über diese Rechenprogramme. 










II. Brennelementverhalten bei Stórfállen 





- Entwicklung und Verifizierung von Brennstabverhaltenscodes 
unter Stórfallbedingungen und von Analysen der Auswirkungen 
von Brennstabscháden auf Notkühiung 





- Untersuchung der Schadensmechanismen 


- Quantitative Beschreibung des Brennstabverhaltens bei 
verschiedenen Störfällen 


- Quantitative Bestimmung des Schadensumfangs am Brennstab 


- Nachweis der Nachkühlbarkeit des Kerns bei Auslegungs- 
störfällen 


- Quantifizierung der Sicherheitsreserven 


III. Abiauf von Kernschmelzunfällen und Freisetzung 


von Spaltprodukten 


- Quantitative Beschreibung der Spaltproduktfreiseizung aus 
einer Kernschmelze unter Berücksichtigung der Wechselwir- 


kung zwischen kernschmelze und Beton 


- Untersuchung der Wechselwirkung zwischen Kernschmelze und 
Beton und die dadurch entstehende Druckbelastung des Sicher- 


heitsbehälters 


Aufzeigen passiver Maßnahmen zur Verringerung möglicher 
Folgen hypothetischer Kernschmelzenunfälle 


IV. Verbesserung der Spaltproduktrückhaltung im Sicherheits- 
einschluB und damit Reduktion der Strahlenbelastung 


- Adaption der Filter an Störfallbedingungen 
- Redukcion der Vergiftung von Jodfiltern 
- Bestimmung der Jodverbindungen in der Abluft 


V. Stérfallablaufanalysen für die große Wiederaufarbeitungs- 


enlage 


- In Zusammenarbeit mit dem Projekt Wiederaufarbeitung und 
Abfallbeseitigung (PWA) sowie der Deutschen Gesellschaft 
fiir Wiederaufarbeitung Karlsruhe (GWK) F*E-Arbeiten zur 
Abgasreinigung für die grofe Wiederaufarbeitungsanlage. 


VI. Ausbreitung und Auswirkungen von freigesetzten nuklearen 


Schadstoffen 


Untersuchung des physikalischen und chemischen Verhaltens 
biologisch besonders wirksamer Radionul. lide in der Umwelt 


Untersuchung der acmosphürischen Ausbreitung nuklearer 
Schadstoffe im Nah- und Fernbereich 


Untersuchung der radiologischen Folgen von kerntechnischen 
Unfállen unter probabilistischen Gesichtspunkten. 





Auf der Basis von internationalen Vertrügen des BMFT und von 
direkten Verträgen des Kernforschungszentrums mit ausländischen 
Partnern steht das Projekt Nukleare Sicherheit in einer engen 
Kooperation und einem intensiven Austausch von Ergebnissen und 
Erfahrungen sowie in Abstimmung der Programme mit 

- der USNRC ( US Nuclear Regulatory Commission) 

- dem CEA (Commissariat à l'Energi- Atomique) 

- dem EPRI (Electric Power Research Institute) 

- der UKEA (United Kingdom Atomic Energy Authority) 

- der JAEC (Japanese Atomic Energy Commission), 
darüber hinaus mit weiteren internationalen Laboratcrien und 


Institutionen. 


2. Fortschritte auf dem Gebiet des Brennstabverhaltens 





Ziel dieser Forschungsarbeiten ist die Untersuchung der physi- 
kalischen und chemischen Phänomene, die beim Versagen der Zirca- 
loyhüllrohre von Bedeutung sind; ferner die Bereitstellung von 
experimentell abgesicherten Rechonmethodeu für realistische 
Stórtalianalysen. 


Von besonderer Bedeutung sird in diesem Zusammenhang: 


- die Ermittlung des Schadensumfangs im Reaktorkern (insbesondere 
Zahl der verformten bzw. geborstenen Stäbe, das Ausmaß ¿>r 
plastischen Verformungen, die Hüllrohrverspródung durch Sauer- 
stoff- und Wasserstoffaufnahme wührend des Stórfallablaufs 
und die Reduktion der Kühlkanalquerschnitte), sowie 


- die Untersuchung der Auswirkung von Brennstabschäden auf cie 
Kühlbarkeit des Kerns und auf die Spaltproduktfreisetzung. 


Die meisten Forschungsarbeiten zum Brennstabverhalten wurden 
1972/73 begonnen und konzentrierten sich zunüchst auf die bei 
schweren Kühlmittelverluststörfällen mit doppelendigem Leitungs- 
bruch zu erwartenden Randbedingungen,d.h.schneller Abfall des 
Systemdruckes, Temperaturen bis 1200 °C und KVS-typische Zeiten 
von wenigen Minuten. Diese Untersuchungen sind weit fortge- 








schritten und haben wichtige Ergebnisse gebracht. Umfangreick 
Grundlagenexperimente im IMF und IRB des KfK haben z.B. dazu 


beigetragen, daß dic relevanten Einzelphänomene des Brennstab 
verhaltens wie z.B. 


- die Deformations- und Versagensmechanismen der Zircaloy- 
Hüllrohre, 


- die Hochtemperatur-Wasserdampfoxidation und -Verspródung, 


- der Einfluß von Brennstoff und Spaltprodukten auf das Defor 
mationsverha'ten der Hüllen sowie 


- der Einfluß der Bestrahlung 


heute gut verstanden werden. Über diese Ergebnisse und ihre 
Umsetzung in Rechenmodelle ist bereits vielfältig berichtet 
worden, so daß ich heute nicht näher auf sie eingehen möchte. 


In der letzten Zeit konzentrierten sich die Arbeiten auf die 
Durchführung von mehr ingenieurmäßig angelegten Experimenten, 
bei denen das Verhalten von Einzelstäben und Sta™biindeln unte 
realistischen Bedingungen, d.h. im Zusammenwirken aller rele- 
vanten Phänomene unter Einbeziehung der thermohydraulischen 
Randbedingungen getestet wird. Diese Experimente, die in der 
Versuchsaniage FABIOLA des IMF, in der Blowdown-Versuchsstrec! 
COSIMA von IRE/IT, in den Flutversuchsstünden REBEKA und FEBA 
des IRB und im DK-Loop des FR2 durchgeführt werden, liefern 
das Datenmaterial, mit dessen Hilfe die auf der Basis von 
Einzeleffektversuchen erstellten Rechenmodelle verifiziert wei 


Aufgrund dieser Experimente wissen wir heute, daß das Deforma: 
und Berstverhalten von Zircaloy-Hüllrohren in oxidierender Ati 
pháre bei gegebenem Differenzdruck ganz entscheidend von der 
Temperatur, der azimutalen und axialen Temperaturverteilung ur 
der Aufheizgeschwindigkeit bestimmt wird. (Abb. 1! ) 


In dieser Abbildung ist ^ie Berstumfangsdehnung verschiedener 
Out-of-pile-Versuche und der FR2 - Inpile-Experimente über de: 
Bersttemperatur aufgetragen. Man sieht, daß insbesondere im 








ke 


rden. 


tions- 
10S- 


id 


sicherheitstechnisch relevanten a-Bereich um 800 °C die Um- 


fangsdehnungen um so größer sind, je kleiner die Aufheizrate 
und/oder je gleichmäßiger die Temperaturverteilung auf dem 
Umfang des Hüllrohres ist. Solche extremen Verhältnisse findet 
man z.B. bei Kriechberstversuchen an direkt beheizten Hüllroh- 
ren oder an Einzelstabversuchen mit beheiztem Umgebungsrohr. 


Je größer die Aufheizrate oder je ungleichmäßiger die Tempe- 
ratur auf dem Hüllrohrumfang ist, desto geringer sind in der 
a-Phzse die Berstumfangsdehnungen. Solche Verhältnisse hat man 
z.B. bei den Out-of-pile-Bündelversuchen des ORNL und des KfK/ 
IRB, die mit indirekt beheizten Brennstabsimulatoren und unter 
Einbeziehung reaktorähnlicher thermohydraulischer Randbedingungen 
durchgeführt wurden, ebenso bei den Inpile-Experimenten im DK- 
Loop des FR2-Reaktors, die mit frischen und hochabgebrannten 
Stáben gefahren wurden. 


( Hinweis: im 8-Bereich kehrt sich aufgrund der verspródenden 
Wirkung des eindringenden Sauerstoffs der Einfluß der Aufheiz- 
rate um !) 


Insgesamt wird deutlich, daß bei möglichst realistischer Versuchs- 
führung die Mehrzahl der Stábe auch im Bündelverband Umfangs- 
dehnungen von weniger als 601 erreicht. 


Wichtig für die Beurteilung der Kühlfähigkeit ist nun allerdings 
nicht nur die Umfangsdehnung der einzelnen Stäbe, sondern auch 
ihre axiale Verteilung im Kern und die resultierende Kühlkanal- 


verengung. 


Abb. 2 zeigt die Umfangsdehnung der 9 zentralen Brennstabsimu- 
latoren und die resultierende Kühlkanalverengung aus dem REBEKA- 
Bündeiversuch 3. Dieser Versuch wurde mit einem 25-Stab Bündel 
voller Lánge unter thermohydraulischen Randbedingungen durchge- 
führt, die für die Wiederauffüll- und Flutphase eines Kühimittel- 
verluststórfalles typisch sind. Man sieht, daß sich als Folge 

der axialen leistungsverteilung und des Abstandshaltereinflusses 
nur reiativ kleine und lokal begrenzte Hüllrohrverformungen 
ausbilden. Die resultierende Kühlkanalversperrung beträgt an der 
engsten Stelle etwa 52 1. 





Die Auswirkung von Kühlkanalversperrungen auf die Kernnotkühlung 
wurde in der Versuchsanlage FEBA des IRB untersucht (Abb. 3 ). 
Diese Einzeleffektuntersuchungen mit verschiederen Blockade-For- 
men und Blockade-Graden lassen erwarten, daß selbst bei sehr 
konservativ angenommenen koplararen Blockaden von 90% und rela- 
tiv niedrigen Flutraten von 2-3 cm/s die maximalen Hüllrohr- 
temperaturen in der Flutphase nicht sehr über die Temperatur 


unblockierter Brennelemente ansteigen (gemessen wurden 20 - 50 K). 


Es muß allerdings darauf hingewiesen werden, daß diese Unter- 
suchungen mit relativ kleinen Anordnungen von max. 25 Stáben unter 
Zwangsflutung durchgeführt wurden. Die FEBA-Ergebnisse sollen im 
Rahmen des internationalen 2D/3D-Projektes mit Hilfe von größeren 
teilblockierten Bündelanordnungcn abgesichert werden, bei denen 
auch die Umstrómung der Teilblockaden repräsentativer simuliert 
werden kann. 

(Abb. 4) Screening Tests zur Langzeitkühlbarkeit eines gefluteten 
Kerns mit Teilblockaden (ebenfalls in der Versuchsanlage FEBA 

des IRB) haben gezeigt, daß die langfristige Nachwärmeabfuhr aus 
einem stark verformten Kernbereich nicht gefährdet ist, solange 
es gelingt, den Kern so mit Zweiphasengemisch gefüllt zu halten, 
daß die Kühlung am oberen Kernrand ausreicht. Auch wenn nur 

noch lo í der nominellen Kühlkanäle frei sind (das war durch 
Bohrungen von 4 mm simuliert), wenn zusätzlich die Blockade 
radial ausgedehnt ist (das war durch einen gasgefiiliten Isolier- 
spalt simuliert) und wenn die Blockade mit 4oo mm so lang ist, 
wie sie zwischen zwei Abstandshaltern maximal werden kann, ver- 
hindert der sich einstellende Restdurchsatz, daß unzulässig 

hohe Temperaturen im Blockadebereich entstehen. Das obere Ende 
der Stäbe ist bei abnehmender Wasserzufuhr früher gefährdet als 
der Blockadebereich (T, « T5). 


Ob die Kühlbarkeit auch bei weniger idealisierten Geometrien 
aus Brennstab-Bruchstücken ebenfalls gewührleistet ist, sol! in 
weiteren Untersuchungen geprüft werden. 
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Zusammenfassend ;ónnen wir also erwarten, daß bei funktionieren- 
der Notkühlung und dann praktisch immergegebenen ungleichfórmi- 
gen Temperaturverteilungen im Kern die Hüllrohrdehnung auf rela- 
tiv kleine lokale Bereiche der Hülle konzentriert ist, so daß 
grobe Umfangsdehnungen, die sich auch über große axiale Bereiche 
erstrecken und die für die Wirksamkeit der Notkühiung gefährlich 
werden kónnten, verhindert werden. 


Das experimentelie Programm wurde von Anfang an von analytischen 
Modellarbeiten begleitet. Im Vordergrund dieser Arbeiten stand 
die Entwicklung des modularen Rechenprogramms SSYST, das gemein- 
sam vom IRE und INR des KfK und IKE-Stuttgart entwickelt wurde. 
Die z.Zt. eingefrorene Version SSYST-2 erméglicht deterministi- 
sche Einzelstabrechnungen für den gesamten Ablauf von Kühl- 
mittelverluststörfällen mit großen Leitungsquerschnitten. 


Für Mitte 1981 ist die Fertigstellung der Version SSYST-3 geplant, 
mit deren Hilfe auch probabilistische Schadensumfangsanalysen 
für den Reaktorkern durchgeführt werden können. 


Abb. 5 zeigt schematisch als Ergebnis einer probabilistischen 
Schadensumfangsanalyse für ein hochbelastetes BE zu Beginn des 
2. Zyklus Zahl und Lage stark verengter Kühlkanäle. 


(Fred < E . loo . 28 $). 

Es muß darauf hingewiesen werden, daß diese Rechnung, die nock 
vorláufigen Charakter hat, bereits mit sehr pessimistischen 
Annahmen für die sogenannten "globalen" Parameter durchgeführt 
wurde (Globale Parameter sind z.B. Reaktorleistung, Multipli- 
kator der Nachwürmeerzeugung und Wärmeübergangskoeffizienten). 
Alle Dehnungsmaxima wurden koplanar angenommen. Stab-zu-Stab- 
Wechselwirkungen wurden nicht berücksichtigt. 

Die Kühlbarkeit dieses Bündels ist selbst unter so pessimisti- 
schen Randbedingungen nicht in Frage gestellt. 


Es ist vorgesehen, die meisten Arbeiten zum Brennstabverhalten 
beim 2F-LOCA in 1981/82 abzuschlieBen. Die z.Zt. noch laufenden 
Arbeiten sind darauf ausgerichtet, die gefundenen Ergebnisse 
abzusichern und zu dokumentieren und die erstellten Rechenmo- 
delle und Verfahren systematisch zu verifizieren und ggf. zu 
verbessern. Außerdem werden Out-of-pile- und Inpile-Experimente 
mit Bündelanordnungen von 25 - 49 Stáben vorbereitet (z.B. 














REBEKA 2, NRU, PHEBUS, SUPER SARA, et al), mit deren Hilfe das 
Problem der Stab-zu-Stab-Wechselwirkungen, die Frage einer poten- 
tiellen Schadenspropagation und die Auswirkung gecrackter 

Pellets auf das Deformationsverhalten der Stábe bei niedrigen 
Kriechgeschwindigkeiten untersucht werden kónnen. Parallel dazu 
erf^'!st eine Schwerpunktsverlagerung hin zur Untersuchung kleiner 
Lecks und spezielier T-ansient2on, die bei zusätzlichem Ausfall 
eines der angeforderten Sicherheitssysteme zu einer Überhitzung 
der Brennstäbe führen können. 


Falls dieser Sysicmausfall - ähnlich wie bei dem Störfall von 
Three Mile Island - nur vorübergehend ist, kann das wieder- 
verfügbare Sicherheitssystem die Temperaturexkursion noch vor 
dem eigentlichen Xernschmelzen abfahren. Dann stellt sich die 
Frage nach den physikalischen Phänomenen bei relativ langsamen 
Transienten, die von Betriebsbedingungen bis zum Schmelzen der 
Zircaloy-Hüllrohre und bis zur Bildung schmelzflüssiger Phasen 
zwischen Hüllrohr und Brennstoff laufen kónnen. Von besonderem 
Interesse sind hier: 


- Art, Ausmaß, Ausbreitung und Auswirkung von Schmelzfronten 
im Spalt zwischen Hüllrohr und UO,-Pellets sowie die Oxida- 
tionskinetik schmelzflüssiger Phasen, 


- Oxidationskinetik des Zircaloy bei Temperaturen » 1200 ?C, 
lángeren Haltezeiten unc evt. abnehmendem Dampfangebot, 


- resuitierende Wasserstoffbildung bei Zircaloy-Wasserdampf- 
reaktionen bis zur Schmelztemperatur des Zircaloy, 


- Kühlbarkeit eines Reaktorkerns, der bis zm Anschmelzen an 
der Grenzfláche Hüllrohr/UO, aufg oeizt wurde und 


- Spaltproduktfreisetzung bei schweren Kernschäden. 
Ein entsprechendes Versuchsprogramm wird z.Zt. diskutiert. 


Abstimmungsgespráche mit entsprechenen Programmen der USNRC, 
des CEA, der Europáischen Gemeinschaft, sind angelaufen. 
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Fortschritte auf dem Gebiet der Untersuchung des Ablaufs von 
Kernschmelzunfällen und der Spaltproduktfreisetzung 








i der Untersuchung der Spaltproduktfreisetzung an der Schmelz- 
lage SASCHA wurden Versuche durchgeführt, bei denen kurze 
ennstab-Prüflinge in oxidierender Atmosphcre, d.h. in Luft und 
ch in Wasserdampf, auf Temperaturen bis zu 2800 We aufgeheizt 
rden. Die Abb. 6 zeigt einen Ausschnitt aus der experimentelien 
ordnung: Das Tiegelsystem mit einem AuBentiegel aus Aluminium- 
id und einem Innentiegel aus Thoriumoxid sowie das Absaug- 
stem aus Glas, das gleichzeitig den ersten Teil der Spaltpro- 
ıkt-Meßstrecke darstellt. Das Schmelzgut besteht aus jeweils 
"ircaloy-Kapseln mit 6 Brennstoffpellets, die aus 

issium bestehen. Um bei der Zusammensetzung der Kern- 

-hmelze auch die Stahleinbvauten des RDB zu berücksichtigen, 
ithilt das Schmelzgut zusátzlich einen Anteil] von 18 $ Edel- 


-ahl, was der Definition von Corium A entspricht. 


sder Fülle der Ergebnisse des SASCHA-Programms solien zwei 


:ispiele gezeigt werden. 


ie Abb. 7 gibt den Verlzuf der Freisetzungsraten für einige 

»lativ leichtflüchtige Spaltprodukte wieder (in % Freisetzung/ 
in.) als Funktion der Temperatur. Man erkennt, daß die wichtigen 
lemente Jod und Cäsium bei etwa 1800 °c mit Raten von ca. 15 %/min 
zw. 5 %/min aus den Brennstäben entweichen. Je nach dem zeit- 
ichen Verlauf der Aufheizung im Reaktorkern ist es demnach 

enkbar, daß bis 1800 °c bereits das gesamte Jod und Cásium 
reigesetzt wird; andererseits kann bei einer schnellen (transien- 
en) Aufheizung auch oberhalb von 2000 ?C noch ein wesentlicher 


nteil des Anfangsinventars von Jod und Cásium in den Brennstäben 


erbleiben. 


ie Abb. 8 zeigt in entsprechender Weise die Freisetzungsraten 
iniger schwerflüchtiger Elemente. Von diesen wird Barium mit 
„1 %/min bei 2400 °- noch am stärksten freigesetzt. Ähnliches 
ürfte für das chemisch verwandte Strontium gelten. Die anderen 
n der Abbildung dargestellten Elemente spielen wegen der 


iedrigen Freisetzung bezüglich einer potexciellen radiologischen 








Belastung bei einem Kernschmelzenunfall eine nur untergeordnete 
Rolle. Der eine Meßpunkt für Neptunium steht wegen der chemischen 
Ähnlichkeit für Plutonium. Deshalb erlaubt dieser Meßpunkt die 
Aussage, daß aus einer Kernschmelze bei 2400 °c durchaus nennens- 
werte Mengen von Plutorium freigesetzt werden könnten, wenn man 
an aufgearbeiteten Brennstoff mit Pu/U-Mischoxid denkt. 


Die Freisetzungsexperimente mit künstlichem Fissium in der 
Schmelzanlage SASCHA werden den kompletter Freis-tzungsquellterm 
einerseits für die radıotoxisch bedeutsamen und cidererseits für 
die hinsichtlich der Nachzerfallswärme wichtigen Isotope bei 
einem unkontrolliert schmelzenden Reaktcrkern in Dampfatmosphäre 
lietern. Hierbei wird unter Freisetzung die Freisetzung der aus 
dem Primärkreis luftgetragen in den Sicherheitsbehälter trans- 
portierten Partikelmasse verstanden. Wie später gezeigt wird, 
spielen dabei gerade auch die nichtaktiven Aerosolpartikeln 

eine Rolle, die runi 94 $i der freigesetzten Partikelmasse 

beim Kernschuelzen ausmacnen. Auch sie müssen deshalb quantitativ 


untersucht werden. 


Beim Kernschmelzer sind die Verháltnisse hinsichtlich des oben 
definierten Quellterms thermodynamisch einigermaßen übersichtlich, 


namlich: 


- Die maximai im Kernschmelzfall aus dem Brennstoff bzw. aus der 
Schmelze freigesetzten Massen von Elementen und chemischen Ver- 
bindungen ergeben sich aus den SASCHA-Experimenten bei der maxi- 
malen Temperatur der Schmelze (ca. 2400 °C) bei einer Halte- 
zeit für diese Temperatur, die dem Ablauf der Kernzerstórung 


entspricht. 


- Die Rückhaltung im Primárkreis dürfte nach unseren Abschátzungen 
2o $ nicht übersteigen und ist damit wahrscheinlich vernach- 
lássigbar, da der natürliche Partikelabbau im Sicherheitsbe- 
halter schon im Bereich von nur 2o Stunden mehrere Größen- 


ordnungen betrágt. 


- Beim schmelzenden Kern spielt der tatsächliche Einbau der 


















































Spaltproduktverbindungen in die UO,-Matrix der noch festen 
Pellets und die radiale Verteilung im Pellet praktisch keine 






Rolle. Damit erscheint die Verwendung von Fissium unproblema- 
| tisch. 








- Leichtflüchtige Verbindungen werden unabhängig von ihrer 
chemischen Fori. obenso wie die Edelgase zu !oo 1 freigesetzt. 


| Eine Untersuchung erübrigt sich damit für den Kernschmelzen- 
fall. 





















- Bis zum Versagen des Druckbehälters werden zwischen 80 und 100% 






des Kerns und aller inneren Strukturen erschmolzen. Die inte- 


grale Spaltproduktfreisetzung kann damit hinreichend genau 
| quantifiziert werden. 



















Ganz anders sieht die Situation aus, wenn auantitatiye Aussagen 







zum Quellterm für Temperaturbereiche gemacht werden sollen, bei 
denen der Kern zwar schon massiv zerstört werden kann, aber 


noch nicht unkontrolliert schmilzt. Einige der wichtigsten Eir- 





flüsse auf den dann geltenden Freisetzungsquellterm, die unmög 


lich in vollem Umfang experimentell nachgebildet werden können, 
sind: 









- Anzahl der Brennstäbe mit zerstörten Hüllrohren. Da im Reaktor- 

















kern einige 104 Brennstäbe vorhanden sind, kann die Zahl der 
defekten Brennstäbe je nach Unfallablauf in der gleichen 


Größenordnung variieren. 


- Länge der trockenstehenden und defekten Brennstäbe. Die Brenn- 
Stabe sind 4 m lang. Je nach Absenkung des Wasserspiegels beim 
korrespondierenden Unfallablauf kónnen sie im Bereich von 


einigen cm oder im Bereich von einiger m zerstört werden. 


- Plate-out-Effekte der Freisetzungsprodul.te innerhalb des Hüll- 





rohres. Sie hängen stark von der geometrischen Lage der Hüll- 
rohrberststelle und vom Zerstórungsgrad der Hüllrohre ab. Je 
nach Unfallablauf sind für die partikelfórmig freigesetzten 

Spaltprodukte Abscheidungsgrade zwischen O und !00 1 denkbar. 
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- Dampf- oder Wasserzutritt an die Pellets im defekten Brenn- 
stab. Wahrscheinlich wird hierdurch sehr drastisch das Frei- 
setzungsverhalten von Spaltprodukten in den Primšrkreis und 
aus der Leckstelle in den Sicherheitsbehálter beeinfluät. 
Die Variationsbreite je nach speziellem Unfallablauf kann 
hier nicht exakt abgeschätzt werden, ist aber sicher in der 
gleichen Größenordnung wie für die oben genannter Effekte. 


- Pellet-Cracking und -Absturz. Beim Cracking und beim Absturz 
von Pellets auf die nächste Abstandshalterebene kann die für 
die Freisetzung zur Verfügung stehende Pelletoberfläche bis 
zum Faktor 5 vergrößert werden. Bei größenordnungsmäßig 107 
Pellets im Reaktorkern hat damit der spezielle Unfallablauf 
einen außerordentlich starken Einfluß auf die für die Spalt- 
produktfreisetzung zur Verfügung stehende Brennstoffober- 
fläche. 


Für alle denkbaren Unfallabläufe wird also bei Kernzerstörungen 
(vor Kernschmelzen), die z.B. in den USA "DegradedCore" oder 
"severe Core Damage" heißen, eine riesige Unsicherheitsbandbrei- 
te für die temperaturzugehórige Spaltproduktfreisetzung 
denkbar. Sicher ist deshalb mit höchster Priorität die Forde- 
rung nach einer möglichst guten Kernschadensumfangsanalyse, wie 
sie im Brennstabverhaltensprogramm geplant ist, zu stellen. 

Diese muß eindeutig auf Ereignisabläufe einer gegebenen Reaktor- 
anlage bezogen werden können. Gemessen an der großen Unsicherheit 
hinsichtlich des Kernzerstérungsgrades bei gegebenen Unfallab- 
láufen reicht es sicherlich vóllig aus, wenn als Freisetzungs- 
term aus dem Brennstoff die maximalen Daten aus den SASCHA- 
Experimenten bei der jeweils zugeordneten Haltetemperatur benutzt 
werden. 


Wenn man nur nach den Personenschäden außerhalb eines Kernkraft- 
werkes fragt, in dem sich ein Kühlmittelverluststórfall ereignet 
hat, der jenseits der Auslegungsstörfälle einzuordnen ist, dann 
spielen sicher nur die Freisetzungsprodukte eine Rolle, die im 
Sicherheitsbehälter luftgetragen sind. Nicht zuletzt aus den 
Ergebnissen des Stórfalls TMI-2 haben wir aber verstanden, daß 
offenbar ein großer Anteil der leichtflüchtigen Spaltprodukte 





- wie z.B. Jod und Cásium die zugleich radiotoxisch besonders 
bedeutsam sind - sofort in die wássrige Phase gelangen kann, und 
damit nicht luftgetragea im Sicnerheitsbehdlter zur Verfügung 
steht. Die Aufteilungsfaktoren kónnen offenbar so groß sein, daß 
bis zu 10° mal mehr Jod und Cäsium in Wasser gelöst vorhanden 
sind, als dispergiert in der Atmosphäre des Sicherheitsbehälters. 
Sollte sich dieser Tatbestand theoretisch und experimentell 
erklären und absichern lassen, dann wäre dies ein Grund, die 
"Jod-Problematik' zukünftig wesentlich entspannter zu betrach- 
ten, als das noch heute der Fall ist. Das bedeutet z.B. bei 

einez Kernschmelzenunfall mit sofortiger Freisetzung aus einem 
großen Leck des Sicherüeitsbehülters, daß die kumulierte akute 
Dosis sich ca. um den Faktor 3 reduziert. Dies ist eine erheb- 


liche Erleichterung für vorzusehende Notfallschutzmaßnahmer.. 


Vor diesem Hintergrund ist es verständlich, daß im Rahmen des 
PNS mit hoher Priorität Forschung zur Aufteilung von Jod und 


Cäsium auf iie Wasser- und auf die disperse Phase durchgeführt 
werden solien. 


Ebei. falls aus dem Störfall TMI-2 haben wir gelernt, daß bei 
Kernzerstörung (ohne Schmelzen) offenbar Spaltprodukte durch 
Wasser aus dem Brennstoff ausgelöst und auspewaschen werden 
können, die dann natürlich in der Wasserphase verbleiben una 

für eine weitere Freisetzung in den luftgetragenen Zustand 

nicht mehr zur Verfügung stehen. Der im Vergleich zu den ge- 
zeigten SASCHA-Ergebnissen viel zu hohe Barium-Anteil im Sumpf 
von TMI-2 spricht dafür. Wie aus Abb. 8 hervorgeht, hätte die 
Freisetzung von Barium durch reines Abdampfen aus dem Breunstoff 
um mehrere Größenordnungen geringer sein müssen. Auch die Beant- 
wortung dieser Fragestellung haben wir bereits in unsere zu- 
künftige F+E-Planung aufgenommen. Schließiich soll noch ein 
experimenteller Befund aus den SASCHA-Experimenten mitgeteilt 
werden, der uns z.Zt. intensiv beschäftigt, der noch vorläufigen 


Charakter hat und für den wir noch keine plausible Erklärung 
gefunden haben: 
































































Bei sonst gleichen Versu 
daß die Freisetzung von 
besonders Silber in Damp 
Lutt. Solche zunächst üb 

auch höhere Freiset 
saren Grund dafür. warun 
haben, parallel zu den SŠ 
quantitative Daten über 
Brennstoffkomponenten ur 
insbesondere des Reaktic 
möglicher Unfallabläufe 
IMF I durchgeführt. Wir 
unerwartetes Freisetzung 
und die SASCHA-Daten mit 
prüfen und vor allen Dir 


Die aufeinander abgestin 
zwischen der Freisetzung 
überschaubaren Verháltni 
heitsbehälter bei Simul: 
Reaktorstörfall, wobei : 
meter technisch handhabe 
begleitenden Untersuchutr 
von Kernkomponenten bed; 


- Im Terperaturbereich t 
gebung) wird die Ther 


- im Temperaturbereich ı 
dampften Freisetzungs] 
anschließend einer Rói 
Elektronenspektroskop: 


- schlieBlich werden im 
einfache Difierenzthe: 


aufgestellt. 
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Systematisch wird zunichst das Abdampfverhalten der reinen Spalt- 


tern hat sich nšmlich geze:gt, | 
ae : produkte in inerterund in oxidierender Atmosphäre ermittelt. 


z.B. Jod, Cäsium, Tellur, Antimon und 
fatmospháre deutlich höher ist als in 
erraschenden Versuchsergebnisse - wie 

zungsraten bei zunehmendem Systemdruck - i 
| wir uns vor 2 Jahren entschlossen 
ASCHA-Experimenten des IRCH auch 

die Flüchtigkeit von Spaltprodukten und 


nämlich in genügend langer Zeit drastisch wirksamen Abscheide- sich die jeweiligen Kurven schneiden. Natürlich bedeutet das 
mechanismen unterworfen. Z.B. ur wm DWR vom Typ Biblis A nicht, daß deshalb sehr spätes Oberdruckversagen keine Rolle 
Abscheideflächen von ca. 40.000 m. mehr spielt, da bei Druckentlastung beim Aufkochen des Sumpf 
wassers ein großer Anteil des darin vorhandenen Jods wieder 
luftgetragen werden kónnte. Aus dem hier geschilderten Tatbe 
folgt konsequent für das zukünftige F*E-Programm des PNS, da 
gerade die Mechanismen in den NAUA-Code eingefügt werden müs 
die zu einer merklichen Aerosolreduktion wührend der ersten 


Bei allen Störfällen, die nicht in ein unkontrolliertes Kern- 






















Anschließend wird das reine Abdampfverhalten des zu betrachtenden schmelzen münden, ist es vom sicherheitstechnischen Standpunkt 


Spaltproduktes aus Mischungen mit UO, und evtl. anderen Spalt- 
produkten untersucht, ebenfalls in inerter und oxidierender 


aus bei weitem am wichtigsten, daß der Sicherheitsbehälter 

seine Aufgabe als letzte Barriere gegen eine Spaltproduktfrei- 
setzung in die Umgebung eines Kernkraftwerkes voll erfüllt. 

Wenn die ungestórte Funktion des Sicherheitsbehälters gewähr- 
leistet werden kann, spielt die luftgetragene Aktivität innerhalb 
des Containments für die Beurteilung der Folgen eines Reaktor- 


Der bei PNS inzwischen bis zur Anwendungsreife entwickelte ^ 
Rechencode NAUA, über den in früheren PNS-Kolloquien bereits 

ausführlich berichtet wurde, erlaubt die zeitabhängige Berech- 

nung der Aerosolabscheidemechanismen (durch Sedimentation, 


Atmosphäre; dann wird unter sonst gleichen Bedingungen Zirkon 





bzw. Zircaloy als Reaktionspartner hinzugegeben und schließlich 
wird die vollständige SASCHA-Fissium-Mischung untersucht. Im 
kommenden Jahr wird diese systematische Untersuchung noch er- 





































iter Berücksichtigung der Verteilung und feet degt, Gëtt, ab qakakuhtarh Masesmeas beeen stórfalles für die Bevölkerung keine Rolle. Die Situation ändert Diffusion und Thermophorese sowie durch Koagulation, Dampf- nach Freisetzung der Spaltprodukte in den Sicherheitsbehälte 
msverhaltens im Brennstoff während w e sich drastisch, wenn der Kühlmittelverluststórfall in einen un- koudensation an den Partikeln und Wash-out durch die Wirkung führen kónnen. Dazu gehórt in erster Linie die Anwendung des 
zu ermitteln. Diese Arbeiten werden im Lë kontrollierten Kernschmelzenunfall einmündet. Untersuchungen von künstlichen Spraysystemen). Wahrend beim Kernschmel zenun- NAUA-Codes auch auf die luftgetragene Aktivität innerhalb de 
wollen damit die Möglichkeit eröffnen, Beste BSegebatese Längen für cine Reihe von iasbtasathhhkap we. bei PNS und bei KWU haben klar gezeigt, daß bei allen Leicht- fall unter ungünstigsten Bedingungen die — wawqenqa Ringraums. Denn Aerosolpartikeln, die durch Leckagen des Sic 
sverhalten zu erklären Beispielhaft und wegen der Aktualität werden hier einige Befunde wasserreaktoren der Kernschmelzenunfall zum Oberdruckversagen bei — —— 18 w Sa die Direktstrah- heitsbehálters in den Ringraum gelangt sind, unterliegen vor 
tels Anwendung anderer Methoden zu Über- — — un utu ahunkabati des Sicherheitsbehšlters führen wird. Selbst wenn demnichst | lung von Jod und Cásium zurückzuführen sind - das wurde — Freisetzung in die Umgebung des Kernkraftwerkes auch dort de 
igen zu interpretieren. Y gezeigt werden kann, daß Dampfexplosionen irgendwelcher Art abgehandelt - sind die nur im statist.schen Mittel zu beschrei- gleichen Abscheidemechanismen wie im Sicherheitsbehälter. Di 
| Unter inerten Bedingungen wird reines Cäsium schon bei Tempera- nicht zum Zerstóren des Sicherheitsbehälters führen, wenn Wasser- benden Spätschäden ausschließlicn auf die —— Ganz- theoretischen und die experimentellen Arbeiten des NAUA-Proc 

mten Programme erlauben den Vergleich kusam ene cnn Si vollstündig freigesetzt. Das Abdampfen von stoffdetonationen ausgeschlossen werden kónnen und wenn ein kórperbestrahlung durch am 3oden abgelagerte radioaktive Aerosole konzentrierten sich schon immer auf den für die Entfernung d 
| aus dem Brennstoff unter thermodynamisch Cäsiumoxid unter inerten und oxidierenden Bedingungen zeigt Sumpfwassereinbruch auf die Schmelze vermieden werden kann, zurückzuführen. Aus SASCHA-Experimenten kónnen wir heute ab- | Aerosolpartikeln aus dem luftgetragenen Zustand besonders wi 
issen und der Freisetzung in den Sicher- Mb. 9 ais führt doch der bei der Betonzerstórung freigesetzte Wasserdaupf schützen, daB beim Kernschmelzenunfall etwa 2,5 t Aerosolpartikeln samen Effekt der Wasserdampfkoudensation an den Partikeln. D 
ition der Gegebenheiten im tatsächlichen der Zeit sind auf der linken Ordinate die Temperaturen angegeben und die dabei zusätzlich entstehenden nicht kondensierbaren Gase | freigestzt werden. Davon sind nur etwa 6 1 — Abb. 12 bisherigen Anwendungsrechnvagen mit NAUA haben noch nicht Kr 
sich hierbei nicht alle wichtigen Para- unt and dëm techies con dob ash AE, emm dio Guten. H5, CO und CO, langfristig zu einem Druckaufbau, der den Sicher- zeigt den mit NAUA berechneten Abfall wg — veruni genommen vom Effekt des verstürkten Partikelabbaus durch Was: 
pn lassen. Bei den das SASCHA-Programm eoctuste te egene, Ba ¿hasa Gath wants dio Poche ¿anar anf. heitsbehülter zerstórt. m masse im Sicherheitsbehülter als Funktion nadbepen Es wird dampfkondensation. Das liegt daran, daß der Aufteilungsgrad 
gen zum Reaktions- und Abdampfverhalten gebiet und denn auf einer Benperatur von 1000 % eege, B» deutlich, daß die luftgetragene aktive Masse im "sss. we Wasserdampfkondensation an den Partikeln und an den Einbaute 
lent man sich verschiedener Methoden: visé Geuttich, dt bereits bei SSD "C oin cesblichas Abdampfen Vor diesem Hintergrund spielt die Penetration des Betonfundaments, 100 h um mindestens 4 Größenordnunge.. durch aerosolphysikalische des Sicherheitsbehülters nicht korrekt abgeschätzt werden ka: 

R on emm — beginnt. Bei Erreichen von 1200 °C sind schon das nach unseren neuesten Berechnungen erst Jahre nach Stórfall- Effekte verringert ws qon die wass... ane die dadurch Wir sind sicher, daß wir im nächsten Jahr dazu in der Lage s: 
is 1500 "C (inerte und oxidierende Um- uhr als SO $ des vorhandener. Cisiuns freigesetit. Auf die eintritt zu erwarten ist, eine vóllig untergeordnete Rolle. Die | beschleunigte Sedimentation der aktiven us — "enu werden. Es erscheint sehr wahrscheinlich, daß dann der Abbau 
nogravimetrie angewendet, gleiche Weise zeigt Abb. 10 das Abdampfen von Cäsiumoxid aus PNS-Aktivitá.en beim Kernschmelzenunfall haben deshalb folge- partikeln bei der — asss. (pro sl wm — luftgetragenen Aktivität in gleichen Zeitabschnitten um mind: 

pd ⁄ | UO,-Cásium-Molybdán-Misckungen. Unter inerten Bedingungen setzt richtig zum Ziel, diejenigen physikalischen Abläufe rechnerisch schlaggebende Effekt ist. Je höher die Anfangskon:entration, deste eine Größenordnung stärker angesetzt werden kann. 
yon 600 "C bis 2600 `C werden - abge- eine starke Freisetzung bei 1150 °C ein, wührend unter oxidie- móglichst gut zu erfassen, die den Zeitpunkt des Überdruckver- stürker der Abfall. Der NAUA-Code wurde inzwischen der USNRC übergeben. Selbstver 
produkte auf Kühlfallen —— und renden Bedingungen eine noch stärkere Freisetzung bereits bei sagens des Sicherheitsbehälters bestimmen. Diese Thematik wird MES | ep ständlich ist vorgesehen, NAUA-kechnungen auch für die deuts 
Ree Shes Sines Angee- 1100 °C beginnt. Nähere Analysen haben gezeigt, daß dabei offen- in dem Beitrag von M. Reimann, K. Hassmann zur Analyse von Kern- | won — — — w — w aren Peg or Risikostudie, Phase B, durchzuführen. 
ie unterzogen, sichtlich auch geringfügig Uran freigesetzt wird. Abb. 11 zeigt schmelzenuniállen näher betrachtet und braucht deshalb hier der wegen "m sss... gent d 43 d 

| Re . das Abdampfen von Komponenten der gleichen Oxidmischung in nicht behande!t zu werden. Der Zeitpunkt des Versagens des x ist in der Abbildung für die halbe, =e sawas = — mé 
Tm ———— — oxidierender Atmosphäre, wobei zusätzlich 50 Gew.-% Zirkon in Sicherheitsbendlters nach Beginn der Einleitung eines Kern- — — —— — — T ze 4. Fortschritte auf dem Gebiet der Spaltproduktrückhaltung 
rmoanalysen bei integraien Abdampftests Pulverform bzw. Zircaloy in Stücken als Resktionspartner zuge- schmelzenunfalls spielt nicht nur für die Evakuierungsmaßnahmen Partikelmasse aufgetragen, die su dem Sicherheitsbehälter n ——— — 
eine wesentliche Rolle, sondern beeinflußt auch in ganz ent- den Ringraum übergehen kann. Bereits nach etwa 10 Stunden sind 






fügt wurde. Im Vergleich mit Abb. 10 erkennt man, daß erstens 
der Beginn der Freisetzung auf 1300 We heraufgesetzt und daß 







über 90% der maximalen Masse freigesetzt worden, d.h. es werden 
in den ersten 10 h durch die Lecks so viele radioaktive Partikeln 
freigesetzt, wie beim Containmentversagen zu den Zeitpunkten, wo 


scheidender Weise die Größenordnung der beim Containmentversagen 





Aus dem Projektbereich, der sich mit der Spaltproduktrückhal: 
und Reduktion der Strahlenbelastung befaßt, soll über beispi« 
hafte Ergebnisse berichtet werden. 





zweitens die Freisetzungsrate deutlich verringert worden ist. freigesetzten Radioaktivität. Das im Sicherheitsbehälter 





luftgetragene Inventar an freigesetzten Spaitprodukten wird 





tung 
-1- 
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engsten Stelle etwa 52 1. 


Von den Radionukliden, die von Kernenergieanlagen freigesetzt 
werden, ist das Jod-131 entscheidend bei der Betrachtung der 
Strahlenbelastung der Bevólkerung inder unmittelbaren Umgebung 
dieser Anlagen. Radioaktives Jod führt in erster Linie durch 
Ingestion auf dem Weide-Kuh-Milch-Pfad zur Strahlenbelastung. 
Die Ablagerungsgeschwindigkeit des freigesetzten luftgetragenen Jods 
ist abhängig von seiner physikalisch-chemischen Bindungsform. 
In der Empfehlung der Strahlenschutzkommission wird ein Ver- 
háltnis der Ablagerungsgeschwindigkeiten von 100 : 10 : 1 für 
das elementare, partikelfórmige und organische Jod bei der 
Abschätzung der Ingestionsdosen durch Jod-131 angegeben. 


Im Laboratorium für Aerosolphysik und Filtertechnik werden daher 
seit ca. 3 Jahren die Anteile an elementarem und organisch ge- 
bundenem (CH. I,Methyljodid) Jod-131 in der Ab- und Fortluft von 
Druckwasser- und Siedewasserreaktoren bestimmt. Die Bestimmung 
erfolgt mit Hilfe von diskriminierenden Jodsammlern, die im 
Prinzip aus geschichteten Filtermaterialien bestehen, die nach- 
einander das partikelfórmige, das elementare und das organische 
Jod der Abluft entziehen, so daß diese anteilmäßig bestimmt 
werden können. Die Messungen cn zwei Druckwa;ser-Reaktoranlagen 
wurden bereits 1979 abgeschlossen und ergaben ein Verhältnis von 
ca. 50 : 50 für das elementare und organische Jod. 


Zu Beginn des Jahres 1980 wurden die gleichen Messungen in der 
Kaminfortluft eines Siedewasserreaktors in Zusammenarbeit mit 

dem Betreiber des KKW durchgeführt. In Abb. 13 sind über die 
Sammelperiode die gemessenen Jod-Konzentrationen in Ci/m? aufge- 
tragen. Bis zur 14. Woche wurde der Reaktor im Leistungsbetrieb 
gefahren, abder 15. Woche war der Reaktor aufgrund einer Revision 
abgeschaltet. Die Analyse der Ursachen für lie Struktur des 
zeitlichen Verlaufs dauert noch an. Deutlich zu erkennen ist die 
kontinuierliche Abnahme der Freisetzung wührend der Revisions- 
phase. 


In Abb. 14 ist der Anteil des elementaren (punktierte Linien) 
und des organischen Jod-131 (ausgezogene Linien) dargestellt. 
Es zeigt sich, daß je Zeiteinheit unterschiedliche Anteile fest- 





gestellt wurden und daß der Anteil an organischem Jod zwischen 2o 


und 901, an elementarem Jod zwischen 5 und 75% schwankte. ie 
Mittelwerte über den gesamten Meßzeitraum mit Angabe der Meß- 
ungenauigkeiten betragen 


- Anteil des elementaren Jod-131 40 = 

- Anteil des organischen Jod-131 ss 7 

- Anteil des partikel- oder 
schwebstoffórmigen Jod-131 ca. 5 $. 


Das Hauptziel dieser Messungen war urspriinglich eine Analyse 
der Anteile an unterschiedlichen Jodspezies fiir Belastungsrech- 


nungen. 


Wichtigstes Nebenprodukt ist jedoch die Verbesserung der Filter- 
Strategie, die sich darin ausdriickt, dañ an der richtigen Stelle 
gefiltert wird. 


Im Zusammenhang mit den Messungen der Jodkonzentration in der 
Ab- und Fortluft von Kernkraftwerken wurde eine Untersuchung 
durchgefiihrt, die sich mit der Sorption von penetrierenden Jod- 
formen wie der unterjodigen Sšure (HOI) und dem arcmatischen 


Jodbenzol (C H.I) durch verschiedene Sorptionsmaterialien befaßt. 
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In einer amerikanischen Arbeit wurde berichtet, daß in der Abluft 
eines Leichtwasserreaktors ein relativ großer Anteil am insgesamt 


freigesetzten radioaktiven Jod durch die unterjodige Sáure HOI 


dargestellt wird, und zwar beim Siedewasserreaktor ein Anteil von 


20 % und beim Druckwasserreaktor sogar ein Anteil von 40 i. 


Im Rahmen der oben bereits geschilderten Untersuchungen an 
deutschen Leichtwasserreaktoren und in zusätzlichen Laborunter- 


suchungen konnten diese Werte nicht bestátigt werden. Die Messun- 


gen ergaben, daß kein signifikanter Anteil unterjodiger Säure 
und aromatischer Jodverbindungen wie des Jodbenzols in der Abluft 


der untersuchten Anlagen zu finden ist. 


Aus dem Vorhaben, das sich mit der Entwicklung und Verbesserung 
von Abluftfiltern für Stórfallbedingungen beschäftigt, ist über 













mit Bündelanordnungen von 25 - 49 Stáben vorbereitet (z.B. 


erste experimentelle Untersuchungen zur mechanischen Belastbar- 
keit von marktgángigen Schwebstoffiltern zu berichten. Diese 
Filtertests wurden an einem Blowdown-Prüfstand des Los Alamos 
Scientific Laboratory durchgeführt. Er besteht im Prinzip aus 
großen Druckbeháltern, in denen Preßluft gespeichert ist, die 
man kontrolliert über das in die angeschlossene Teststrecke ein- 
gebaute Testfilter strömen läßt. Das Verhalten der Testfilter 
unter erhóhtem Differenzdruck wurde mit einer Hochgeschwindig- 
keitskamera registriert und die Belastbarkeit als Differenzdruck 
beim Auftreten des ersten sichtbaren Schadens definiert. 


Die bisher getesteten, für Kernkraftwerke typischen Filterele- 
mente wurden je nach Filtertyp bereits bei Differenzdrücken 
zwischen 0,04 und 0,115 bar beschädigt. Bei Vorbeladung des 
Filters ist mit einer Verminderung der Belastbarkeit zu rechnen. 
Außerdem zeigte sich, daß noch vor dem eigentlichen Schadensein- 
tritt nennenswerte Mengen der eingespeicherten Schwebstoffe aus- 


getragen werden. 


Dieser ersten Versuchsserie im Los Alamos-Prüfstand soll eiae 
zweite mit weiteren Filtertypen und eingehenderer Untersuchung 


vorbeladener Filter foigen. 





Da die Anlage im Differenzdruck mit max. 0,3 bar begrenzt ist, 
auBerdem wesentliche Paramatereinflüsse wie hohe Luftfeuchtig- 
keit und erhóhte Temperatur bei gleichzeitiger Druckstoßbelastung 
nicht untersucht werden können - Parameter, die bei Störfällen 
erwartet werden müssen - wird z.Zt. die Errichtung einer Anlage 
im Kernforschungszentrum geplant, die einen maximalen Difterenz- 
¢~uck von 0,7 bar gestattet, und in der versucht werden soll, 

100 % rel. Luftfeuchte mit Temperaturen bis zu 90 ?C zu reali- 


sieren. 


Aus den ersten Versuchsergebnissen wird außerdem deutlich, daß 
die Entwicklung von Filtern mit hoher thermischer und mechanischer 
Beständigkeit wie Metallfaserpackfilter vorangetrieben werden muß. 


















5. Fortschritte auf dem Gebiet der Ausbreitung und Auswirkungen 





freigesetzter nuklearer Schadstoffe 





Im Rahmen des Vorhabens "Das physikalische und chemische Verhalten 
biologisch besonders wirksamer Radionuklide in der Umwelt", das in 
der Hauptabteilung Sicherheit des Kernforschungszentrums durch- 
geführt wird, wird u.a. das Verhalten von Plutonium in terrestri- 
schen und aquatischen Ükosystemen untersucht. Ich móchte heute 
beispielhaft über Untersuchungen ia einem aquatischen Ükosystem - 
dem Altrhein - berichten. Der Altrhein dient dem Kernforschungs- 
zentrum und der Wiederaufarbeitungsanlage Karlsruhe als Vorfluter. 
In ihn werden die geklärten und gereinigten Abwässer, die nur 
noch extrem niedrige Konzentrationen von Radionukliden enthalten, 
eingeleitet. Diese Abwásser enthalten auch die Plutoniumisotope 
Pu-238, Pu-239 und Pu-240. Aufgrund einer ausgefeilten Analysen- 
technik, die in der Hauptabteilung Sicherheit entwickelt wurde, 
ist es móglich, diese extrem niedrigen Plutoniumkonzentationen zu 
bestimmen. 

Diese Tatsache ermóglicht es, den Mechanismus der Ablagerung un! 
Verteilung von Plutonium in einem langsam fließenden Gewässer 

zu untersuchen. Abb.15 zeigt den Ort und Abb. 16 übersichtlich 
das Ergebnis der Konzentrationsmessungen der drei Plutoniun- 
isotope Pu-238 sowie Pu-239 + 24C in der obersten Sedimentschicht 
des Linkenheimer Altrheins über eine Flußlänge von 3,5 km. 


Es wurden vorerst die Korrelationen der Sedimentkontamination 
zur Fließgeschwindigkeit, Sedimenttiefe, Sedimentdichte u.a. Para- 
metern untersucht. Dabei zeigte sich: 


- Hohe Fließgeschwindigkeiten geben geringe Plutoniumdepositionen; 
eine eindeutige quantitative Beziehung zwischen deponierter 
Aktivität und Fließgeschwindigkeit besteht jedoch nicht. 


- Die Sedimentdichte ist proportional der Fließgeschwindig- 
keit; der Plutoniumgehalt der Sedimente nimmt mit zunehmender 
Sedimentdichte rasch ab. 


Im Rahmen dieses Vorhabens sind u.a. noch die Messung der Transfer- 
faktoren Wasser/Fisch sowie Boden/Pflanze und deren Beeinfluß- 
barkeit vorgesehen. 














niedrigen Freisetzung beziiglich einer potexciellen radiologischen 


am diii «m. 


e Untersuchung der radiologischen Folgen von Reaktorunfällen 
ter probabilistischen Gesichtspunkten, die im Institut für 
utronenphysik und in der Hauptabteilung Sicherheit durchge- 
hrt wird, hat zum Ziel, das endgültige Unfallfolgenmodell für 
e Jeutsche Risikostudie zur Sicherheitsbeurteilung von Kern- 
aftwerken mit Druckwasserreaktoren in der Bundesrepublik 
utschland zu erstellen. Dies ist das Ziel der sogenannten 

ase B der deutschen Risikostudie, während die Phase A, die sich 
ark an die Methodik der amerikanischen Reactor Safety Study 
lehnte, im Jahre 1979 mit der Veróffentlichung des Hauptbandes 
r Risikostudie abgeschlossen wurde, dem die Drucklegung der 

;t Fachbánde im Laufe dieses Jahres folgte. 


f gemeinsame Initiative der Sandia Laboratories vnd des Kern- 
rschungszentrums Karlsruhe wurde diese Arbeit inzwischen auf 
ie internationale Grundlage gestellt. Bei der OECD/NEA wird 

| Committee for Security of Nuclear Installations ein Projekt 
:nchmark Problem on Consequence Models" vorangetrieben, dessen 
-htigste Ziele sind, 


inen vollständigen Überblick über alle existierenden 


techenmodelle zu gewinnen, 


lie modellbedingten Unsicherheiten bzw. Fehlerbandbreiten 


ibzuschützen und 
rıoritäten für zukünftige Forschungsarbeiten zu setzen. 


Projekt ist in sieben Teilaufgaben untergliedert, wie Vergleich 

atmosphärischen Ausbreitungsmodelle, der Dosismodelle, der 
elle zur Berechnung gesundheitlicher Schäden, Vergleich von 
ndortspezifischen Ausbreitungsrechnungen auf der Basis der 


kreten Topographie usw. 
se Teilaufgaben werden von sieben Koordinatoren betreut, von 


en zwei aus dem Kernforschungszentrum stammen. Am Projekt 


d mehr als 20 Forschungsinstitutionen aus 15 Ländern beteiligt. 
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Die ersten Teilaufgaben sind bereits ausgewertet,und es zeigt 
sich, dab es móglich ist, das komplexe Zusammenspiel sehr unter- 
schiedlicher Modelle und Modellannshmen transparent zu machen. 
Die Ergebnisse dieses internationalen Vergleichs sollen im 
September 1981 anläßlich des ANS Topical Meeting on Probabilistic 
Reactor Safety and Related Physical Phenomena vorgestellt werden. 





6. Zusammenfassung und Ausblick 


- Die Arbeiten zum Brennstabverhaiten beim 2F-LOCA und zur 
Schadensumfangsanalyse sind soweit fortgeschritten, daß sie 
zum ößten Teil in 1981/82 abgeschlossen werden können. 


Die Fragen der Stab-zu-Stab-Wechselwirkungen und einer móg- 
lichen Schadenspropagation sowie die Auswirkung gecrackter 
Pellets auf das Deformationsverhalten der Stábe bei niedrigen 
Kriechgeschwindigkeiten sind noch zu untersuchen. Parallel dazu 


erfolgt eine Schwerpunktverlagerung zur Untersuchung kleiner 
Lecks und spezieller Transienten, die bei zusätzlichem Ausfall 


eines Sicherheitssystems zu einem "degraded core" oder "severe 
core damage" führen können, ohne da& der Störfall zwangsläufig 

in den hypothetischen Kernschmelzenunfall übergeht. Hier gilt 

es Klarheit zu gewinnen über die physikalischen und physikalisch- 
chemischen Vorgänge im Temperaturbereich von 1200 bis ca. 2000 °C 


bei relativ langsamen Transienten. 


Entsprechende Versuchsprogramme werden z.Zt. diskutiert und 
mit den internationalen Programmen der USNRC, des CEA oder der 


Europáischen Gemeinschaft abgestimmt. 


- Bei den Arbeiten zum hypothetischen Kernscnmelzenunfall werden 
die Freisetzungsexperimente mit künstlichem Fissius in der 
Schmelzaniage SASCHA den Freisetzungsquellterm sowohl fiir die ra- 
diologisch bedeutsamen, als auch für die hinsichtlich der 


Nachzerfallswárme wichtigen Isotope in Dampfatmosphäre lieferr. 


Parallel dazu sollen quantitative Untersuchungen über die 


Flüchtigkeit von Spaltprodukten und Brennstoffkomponenten 
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unter Berücksichtigung ihrer Verteilung und ihres Reaktions- 
verhaltens ix ?rennstoff die Móglichkeit e-óffnen, uncrwar- 
tetes Freisetzungsverhalten zu erklären und die SASCHA -Ergeb- 
nisse zu prüfen und vor allem zu interpretieren. 


ferfaktoren Wasser/Fisch sowie Boden/Pflanze wird nach Ent- 
wicklung weiterer Messtechriken möglich sein. Außerdem sind 











Experimente "ur "rköhung de: Mobilität der Aktiniden ia 








soden geplant. Sobald die notwendigen Kapazitäten zur Verfügung 3 


1100 
nl? 


Die Abscheidemechanismen der aktiven und inaktiven luftgetra- 
genen Spaltprodukte oder Aerosole im Sicherheitsbehälter sind 
weitgehend verstanden und ihre zeitabhängige Berechnung im 
Rechencode NAUA zur Anwendungsreife entwickelt. Die zukünf- 


stehen, soll mit Untersuchungen der beider wichtigsten Trans- 
ferprozesse des Radiocäsiums in die menschliche Nahrungskette 








begonnen werden. 





- Die Untersuchungen zur atmosphärischen Ausbreitung nuklearer Lo 
Schadstoffe im Nah- und Fernbereich werden sich auf die Aus- g 
breitung im regionalen Bereich über 15 km mit Traaspondern, 
deren Entwicklung im Frühjahr 1981 abgeschlossen sein wird, 
auf die Ausbreitung im lokalen Bereich mit Emmissionshóhen 
^ 100 m und auf die Entwicklung von Ausbreitungsmodellen für 
besondere meteorologische Situationen konzentrieren. 


tigen Arbeiten werden sich im wesentlichen mit den Abscheide- 








mechanismen im Ringraum, der genauen Untersuchung des Ein- 








flusses der Wasserdampfkondensation, der Verteilung von Jod 
und Cäsium in der Luft, im Wasserdampf und im Wasser sowie 
begleitenden Untersuchungea zum BETA-Programm beschäftigen. 




















- Es wurde über die Bestimmung des elementaren, partikel- 
förmigen und organischen Jods in der Ab- und Fortluft von 


KfK- REBEKA out-of-pile bundle tests 1,2,3,4 
ORNL- MRBT out-of-pile bundle tests 1,2,3 
KfK-FR2 in-pile single rod tests 


- Bei der Untersuchung der radiologischen Folgen von Reaktor- 








| 
iprabeedtussban bertebtet. unfállen unter probabilistischer Retrachtungsweise steht die | 
Sensitivitätsanalyse der wesentlichen Parameter und die Er- | 
stellung des endgültigen Unfallfolgezmodells im Rahmen der 


Phase B der Risikostudie im Vordergrund. | 


In der nächsten Zukunft wird versucht, die Quellen der ver- 


schiedenen Jodanteile aus Siedewasserreaktoren quantitativ zu 





identifizieren, um Schwerpunkte eines verbesserten Lüftungs- 








konzeptes angeben zu können. Für die fernere Zukunft ist die 
Untersuchung der Veränderung der Jodverbindungen vom Emittenten 
bis zum Autpunkt geplant. 









































2 - 
Erste Messungen zur mechanischen Standfestigkeit von Schweb- | i S a 2 | 
stoffiltern im Prüfstand des Los Alamos Scientific Labora- | è S x d | 
tory haben gezeigt, daß ein eigener Prüfstand gebaut werden | * 9 = = Í 
muß, um die wesentlichen Parametereinflüsse wie Luftfeuchtig- | x< £z | 
keit und erhökte Temperatur bei gleichzeitiger Drucks tobe- | Q x ei | | 
lastung untersuchen zu kénnen. Die Entwicklung von Filtern mit > ° D ei I 
hoher thermischer und mechanischer Beständigkeit muß vorange- | x 3 x 
trieben werden. = a ; wm 





















Beispielhaft wurde Ober die Verteilung von Plutonium in den 


100" 
50 
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sedimenten des Altrheins berichtet. Die Bestimmung der Trans- 


burst strain versus burst temperature of Zry claddings 
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faktoren Wasser/Fisch sowie Boden/Pflanze und deren Beeinfluß- 
barkeit vorgesehen. 
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| that the plant be soundly designed, constructed, tested, operated, 
NRC'S CORE MELT RESEARCH PROGRAM I. Introduction and maintained in accordance with very high quality standards and C. Reactor Siting 
engineering practices, and with a high degree of freedom from faults 
AND ITS The U. S. Nuclear Regulatory Commission (NRC) has sponsored research and errors. The basic design selected must be inherently stable and A fourth element of the defense-in-depth concept is to provide for 

ne ahii ` in the areas of fuel melt and fission product behavior for several have a high tolerance (e.g., fail-safe features) for off-normal condi- site isolation as an additional margin of safety to assure no undue 

ELATiON TO CURRENT REGULATORY ACTIVITIS<¢ years. During the mid-1970's, the impetus for the research was to im- tions, should they occur. dëi TEE ary Ao “tee unr’ One" yyy th 
prove the models for consequence cal tions f robab dent concept was developed during early 's to tes r 
analyses as a follow-on to WASH- 1400 17 Now, +... +]... A. o Despite the care that is taken in the first level of safety to avoid degree of site isolation and plant design would be sufficient for 
program is being expanded significantly, and its focus is changing failures or operating errors which potentially could lead to safety this purpose. 


somewhat to include the study of potential design features to mitigate problems, it is prudent to anticipate that some will occur during the 


service life of a nuclear power plant. A second level of protection The maximum credible accident concept was carried into Part 100 in 





the consequences of severe fuel damage accidents. 
—— 7 — E = is provided by reliable protection devices and systems, designed to which an analysis of the consequences of the accident was used as a 
by | Immediately after the TMI-2 accident, the WRC took actions to improve assure that such incidents will be prevented, arrested, or accommodated test of suitability of a proposed site and plant design. In Part 









safely. The requirements for these protection systems are based on a 100, the maximum credible accident is defined as "...a major accident 


| nuclear plant designs, to upgrade ato ini 
1 Sob An L Ae spectrum of occurrences which could lead to off-normal operation which hypothes*zed for purposes of site analysis or postulated from conside 


better emergency planning procedures. These requirements are embodied 
























































































































in the TMI Action Plan. In additian to the plant design must safely accommodate. tions of possible accidental events, that would result in potentia! i 
1. E. Murley, Speaker | the NRC initiated a number of longer-term En Annan iens. hazards not exceeded by those from any accident considered credible. 
` deal with Emergency Planning, Siting Policy, Minimum Engineered Safety The third level of safety supplements the first two levels through Although mere severe accidents (now generally referred to as Class 9 
and | Features and Degraded Core Cooling. One of the major questions to be features which provide additional assurance that protection to the accidents) are conceivable, the consequences of such accidents were 
ER considered during the Degraded Core Cooling Rulemaking is what des ign | public is provided even in the event of the occurrence of extremely normally not ana'yzed for assessing the suitability of a proposed sit 
y c N features, if "d. Should be included in nuclear plants to mitigate the oe = ng —— tances. This margin is evaluated and plant design. 
. Sherry P consequences of severe fuel damage or core melt acci ' primarily by testing gn concept against severe hypothetical 
M. Silberberg h provide a technical basis for addressing these oa. w k w accidents, involving the postulation of independent failures of some At the time Part 100 was prepared, the maximum credible accident was 
research program is being expanded Significantly. This paper describes | of the redundant protective systems simultaneously with the accident assumed to be a loss-of-coolant accident (LOCA) that would result in 
U. 5. Nuclear Regulatory Commission the historical background as well as the future plans for NRC's they are intended to control. From analyses of these postulated a substantial meltdown of the core with subsequent release of appreci 
| core melt research program. events, several accident sequences are selected as a basis for the design able quantities of fission products. At that time, reactors were 
a cdm | and incorporation of the plant features and equipment required for pro- relatively small and the assumed substantial meltdown of the core was 
tection of public health and safety. The sequences selected for this believed to be capable of being accommodated without loss of contain- 
Il. Historical Development of Regu lations purpose are called Design Basis Accidents (DBA's). ment integrity. This provided an effective upper bound on offsite 
radiological consequences as long as the containment remained intact. 
The essential elements of nuclear r pl i iti B. Design Basic Accidents 
policy are derived from the — — = Ay me | TID 14844 "Calculation of Distance Factors fer Power and Test Reactor 
National Environmental Policy Act of 1969 and are contained in | For light water-cooled nuclear power plants the loss-of-coolant acci- Sites," March 1962, provided a set of source term assumptions and 
Part 50," Domestic Licensing of Production and Utilization Facili- dent, wherein a large pipe rupture is assumed to occur,is the D8A for sample dose calculations for the maximum credible accident for use 
ties and Part 100 "Reactor Site Criteria," of Title 10 of ihe U. S. design and evaluation of certain plant safety features. This assumption in determining the suitability of the reactor sites and plant designs 
Code of Federal Regulations (CFR). The following discussion describes has been made independent of the design characteristics, material 
the philosophy and historical development of these U. S. nuclear regula- and fabrication standards, and quality assurance practices emp loyed Part 100 has built in flexibility that permits unfavorable site 
tory policies. in any specific plant. characteristics to be compensated for by plant design improvements. 
During the same period of time that Part 100 was being prepared and i 
A. Defense-in-Depth The emergency core cooling systems (ECCS) and the secondary plant recognition of a relatively large fission product source term contain 
containment systems, which protect the public against the possible in TID 14844, applicants proposed and the AEC accepted various engi- 
Presented at the 1989 Project Nuclear Safety Coliocuiu: Design, siting and regulation of nuclear power plants have been based consequences of a wide spectrum of postulated events, are sized on neered safety features that tended to mitigate the radiological 


the basis of the design basis loss-of-coolant accident (LOCA). The consequences of the loss-of-coolant accident. 


design basis loss-of-coolant accident is not the only accident con- 
sidered and designed for in a nuclear plant, and other safety systems 
or protective features are provided that are not related to this DBA. 
It does provide, however, a very demanding requirement for the sizing 
and specifications of a significant number of systems. 


on the concept of defense-in-depth. This safety philosophy consists 
of multiple levels of safety. The first level of safety requires 
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Current U. S. designs that use engineered safety features such as dua 
containments and iodine removal systems (e.g., sprays and filters) 

have the capability for controlling virtually all of the radioactive 
material assumed to be released in the postulated LOCA. By using suc 
designs, it is possible for present nuclear power plants to be locate 
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(2) NUREG-0660, "NRC Action Plan Developed as a Result of The TMI -2 
Accident" U. S. Nuclear Regulatory Commission, August 1980. 
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on the Accident at Three Mile Island, the NRC Special Inquiry Group, 
the NRC Advisory Committee on Reactor Safeguards (ACRS), the Lessons- 
Learned Task Force and the Bulletins and Orders Task Force of the 
NRC Office of Nuclear Reactor Regulation, the Special Review Group 
of the NRC Office of Inspection and Enforcement, the NRC staff Siting 
Task Force and Emergency Preparedness Task Force, and the NRC Offices 
of Standards Deve}apment and Nuclear Regulatory Research. The TMI 
Action Plan collects those recommendation: into five chapters, each 
of which covers one broad subject: namely, I. Operational Safety; 

II. Siting and Design; III. Emergency Preparedness and Radiation 
Effects; IV. Practices and Procedures; and V. NRC Policy, Organiza- 
tion, and Management. 


at sites with a very small exclusion area and a small low population 
zone (LPZ) distance and stil? meet the dose criteria of Part 100. Thus. 
the distance factor contemplated in the regulations has been reducec 
Since the early 1960's, the size of reactors nas increased bv about an 
order of magnitude, and emergency core cooiing systems have become a 

| requirement for all reactors. Successful performance of the emergency 

' core cooling system would result in a fission product release from 

the core that is significantly smaller than that resulting from the 
previous!v assumed substantial meltdown. On tne other hand, shoulc 

the emergency core cooling system not function properly, a substantial 
meltdown might then occur, and the significantly greater size of pre- 
sent reactors could lead to the core melting and failure of the contain- 
ment building. 





need to perform calculations describing the physical phenomena 
— with core melt accidents led to an appreciation of the 
short supply of experimental data on which to base analytical models. 
In order to fill these gaps in our understanding, the NRC p 
research in 1974 - 1978 on steam explosions. core-concrete interactions, 
molten core heat transfer, and fission product behavior. Our programs 
benefited appreciably from cooperative agreements with the Federal 
Republic of Germany and, in particular, from Project Kernschmel zen 
here at KfK. The results from this research Y = HEN E - 
ee S E ' 2. To take into consideration in siting the risk associate? 
quantify risks. with accidents beyond the design basis (Class 9) by 


In 1978 the United States Congress passed a law requiring the HRC to establishing population density and distribution criteria. 


ing to improve- 
i-o Stas an gg in NRC's' | 3. To require that sites selected will minimize the risk from 
werten research charter, which was primarily to — d — | w a... 
fety Study p'a ! 
of existing designs. Insights from the Reactor Sa Among the recommendati de b Task F i i 
; WASH- cluded ons ma y the lask Force, and pubiished in 
a major role in shaping the plan. In particular, her NUREG-0625, "Report of the Siting Policy Task Force,” August 1979, are 







of current NRC policy and practice and has recommended a number of 
changes to current siting policy. The recommendations were made to 
accomplish the following goals. 









ci- 










i. To strengthen siting as a factor in defense in-depth by ' 
establishing requirements for site approval that are in- 
dependent of plant design consideration. 
























Actions to improve the safety of nuclear power plants now operating 
were judged to be necessary immediately after the accident and could 
not be delayed until an action plan was developed, although they were 
subsequently included in the Action Plan. Such actions came from the 
NRC Inspection and Enforcement Bulletins and Commission Orders issued 
immediately after the accident, the first report of the Lessons-Learned 






As a result of the rapid scale-up in size and complexity of nuclear 
power plant designs and the introduction of new and improved engineered 
safety features during the late 1960's and eer?» 1979 e, licensinc 
reviews become more detailed and thorougn. "esc rapid changes pre- 
sented problems for both the industry and t^e reculators (e.g., back- 
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fitting), and calls were made for standardized reactor designs and idents in which 

t the lic risk from reactors was dominated by acc 

æ aay KEE, ~~ r hs 44 At a weed ga core t and the containment fat ied via ——— (T1793 that Part 100 be revised to: Task Force issued ta July, 1978, the recamnendat ions of the Emergency 

xith industry in developing joint standards. The industry in turn there were to be major japrovements in safety, they cou a. Specify a fixed minimum exclusion distance based on limiting — oe er te we y~ E — Ree en = — h. — E 
e d seloped standardized reactor and balance of plant designs which aided through improvements in: the individual risk from design basis accidents. : Learned Task F Report (NUREG 578) req irements for: 

in reducing the licensing review effort i t - ws o — " Ç - -— 

j - containment systems ! i ind | - | 

D. Confirmatory Research - core decay heat removal systems | b. Specify a fixed minimum emergency planning distance of 10 miles. (1) Improvements to assure the reliatility of auxiliary feed water 

| - man-machine interface. c. Incorporate specific population density and distribution eum GS pas g CUP Ne. 

During the late 1970's, the WRC research progrars began to produce iarae i 1979 prior to the limits outside the exclusion area that are dependent on the 

, t these cs was initiated in early prio (2) Small break LOCA and transient analysis 
forge esst — Qn de — a. fer | THI? accident. The subsequent events at TMI-2 would clearly sub- average population of the region. 
nten for . For example, ‘ — ) I d Trai 

the NRC decay heating research program rroduced results which greatly stantiate the need for this work d. Remove 7 —— Ann — doses 2. no Say E 

reduced the uncertainty associated with decay heating calculations and commoda ore melt accidents in U. S. nuclear plants, means OF es sn'ng minimum exclusion distances and low 4) Analysis of, and instrumentation to verify, natural circula- 

E STEE apy ty | A — c decay zs TMI A habe by NRC in the licensing process fer Se population zones. (4) m A, y: 

° valuation Itari reede 

very conservative. In addition, the etary te Test Facility (LOFT special p Do s. MP — — of the e. Require a reasonable assurance that interdictive measures (5) Improvements to plant emergency procedures 

large break LOCA tests confirmed that the ECZ systems would per/orr (CRBR) . he MMC staff decided that although a postulated core melt are possible to limit ground water contamination resultinc - , 7 
n their design function of keeping the core cooled under design basis c = | not be considered as the DBA for the plant, the applicant from Class 9 accidents within the immediate vicinity of the (£) Inerting certain BWR containments 
ed s. — have to provide assurance that containment margins pe —— site. 

Floating Nuclear Pian 
. Pre-TMI NRC Action Yl —— - i-. PEL - = bu u — tate IV. Post-TMI ARC Actions (7) Improved shielding te permit access to important areas 
d -through for at least 8 

d in che rester cavity to De GE Te e A. TMD Task Action Plan (8) Improved post-accident reactor coolant and containment 
e The Reactor Safety Study (WASH-1400) cublished in 1975 was a Ann Gate os 20059 oe = y — ye a -— The TMI-2 Action Plan was developed to provide a comprehensive anc (9) On site Eme Technical and Operati ç rh Cente 

milestone in analyzing reactor accidents. Major insights from this through in an off-shore plan integrated plan for the actions judged necessary by the Nuclear Reguia- — D — P Pr 

study were that core melt accidents were considera^!v more likei: tory Commission based on the experience from the accident at TMI-2 arc ñ 
` than previously perceived but aiso that the ep À. were not B. Siting Policy Task Force the official studies and investigations of the accident. oA Zo mm s en 

necessarily catastrophic in terms of public health effects. Comm rect ff | ext i 

2 — 22 p d P — — — siting. The list of groups who have investigated the accident include the external investigations were complete. 
a ra - l - her 
to deveiop a gene “~~ Congress, the General Accounting Office, the President's Commission Al; the investigations agree that, although the TMI accident resulted 





A Task Force was formed for that purpose and has prepared a statement 
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| 50 Gew."/. Zr (pulv.) bzw. Zry (Stücke) 


from many factors, the most significant were in the broad general area 
which is called operational safety. The actions in the plan directed 
toward increasing operational safety have two objectives. The 

first is to improve the operation of the plant so that the number 

of events that could lead to accidents is reduced. The second is 

to improve the ability of the operating staff to recognize such 
events and take appropriate corrective actions. The first cojective, 
preventing the causes of accidents, is addressed through improvements 
in the selection and trai ving of operators and plant staff, and 
improvements in utility management techniques and capabilities. 
Specific improvements are required in the content and level of 
training courses, in the use of plant simulators, in operating 


procedures, and in the design of the controls and instrument displays 
in the control room. 


Means of improving current plant designs were also identified in 
studies of the accident. The accident re-emphasized the importance 

of high system reliability. Therefore, the action plan contains 
requirements for the assessment of the reliability of some of the 
engineered safety features (e.g., auxiliary feedwater, emergency 

core cooling, containment isolation, and decay-heat removal, including 
natural circulation) and an overall assessment of accident probabilities 
and consequences using simplified reliability analyses for all 


plants. These analyses are directed toward identifying and correcting 
specific weaknesses in current designs. 


The action plan also contains studies of the desirability of additional 
requirements and safety systems to reduce the risk from accidents in 
which there is significant melting or degradation of the core, such 
as occurred during the accident at TMI. The plan contains interim 
improvements and rulemaking on the cepability of nuclear power plants 
to mitigate the consequences of accidents in which the core is 
severely damaged, and a long-term study of the possibilities for 
mitigating accidents. The plan includes an interim rulemaking action 
to consider the need for interim hydrogen contro! features for 

small containment structures, where the potential for ignition of 
hydrogen is the greatest, and other interim consequence mitigation 
features for accidents involving core damage. 


In addition to the weaknesses in operational safety and system design, 
the investigators of the TMI accident have generally agreed that the 


state of planning and preparedness for emergencies at nuclear power 
plants was inadquate. 


The plan contains actions to be taken by the Commission to revise 
present policies, procedures, and organization to more effectively 
accomplish the mission of the agency. These include articulation 
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of a safety goal or safety policy O. Also ———— P 
e: 
, functions and organization 0 omm N VON 
KEN to increase the application of human factors principie 


and integrated systems engineering. 


B. Policy Changes 





The Siting Policy Study, the TMI Lessons yearend Task Parco eile. 
and the TMI Task Action Plan all recommend e — À DID 
revision of, the basic rules guiding the licensing O 


reactors in the U. 9. 


The areas where major changes in the NRC wm e my 
EE or minimun engineered safety feature 
i i ts for min? Es 
planning and requiremen | sets of em siting s.a 
congress has mandated certain à | 
eg Dens planning rules. This legislation has om 

— things that siting be considered independent O Ps — ge 

desian features. Consequently, it will be necessary ye 

—2 specifications for a _ d d roc pe 
uired for all plants. closely ated 

"n the < is the work on developing à quantitative safety 


goal. 


i ]ready been issued. This rule | 

d ires thet planning plans be developed for two tie LN 
vores (EPZ) surrounding each commercial nuclear plant. The * 
sees | exposure is to be an area around the plant with a ra m 
— 16 kilometers and for contaminated food and water, " - 
^d Do. The new rule, in addition, requires Ae 

d state and local government emergency plans be e Troes A 
NRC for review, and calls for public dissemination O = LS 

lanning information. The new rule contains — Ae sten 
š ed acc dent management and communication sys PE 
including the establishment of an on-site technical suppor 


and a near-s ite emergency operations facility. 


— i - 
i for modifications to the NRC reac | 
oo The issues to be »ddressed in 
made by the Siting 
d previously. 


An advance notice of rulema 
iti i loped. 
in ulations has been deve d 
this 4 action include the —— Wm 
Policy Task Force and contained in NUREG-0b25, 


i " i i f raded 
An advance notice of proposed rulemaking (or ed n October. The purpose 
ores in Safety Reguiatio | E? 
of — — action is to determine to m — 
nuclear plants should be designed to cope with acc! ` 


































































Current design basis accident" envelope. The followinG items. among 
others, are being considered for the proposed rule: 


(1) Consequence mitigation features for severe fuel damage accidents; 


(2) Requirements for the analysis of severe fuel damage and core 
melt accidents in safety analysis; | 


(3) Vent-filter containment systems; 

(4) Additional hydrogen control features (or cortainment inerting); 
(5) Core retention devices; and 

(6) The role of probabilistic analysis in safety feature assessment. 


Taken as a group, these rulemaking actions are very broad in score 
and are expected to lead to a new post-TM] safety philosophy. 


Finally, case by case licensing actions have a profound effect on the 
development of rules and subsequent quides and standards. Recent key 
examples are to be found in the licensing review of the Sequoyah ice 
condenser containment plant wherein a license condition was incorporated 
requiring successful demonstration of the capability to control the " 
hydrogen generated {.om an extensive wetal-water reaction. The proposed 
hydrogen control method is to use ianiters, and both the licensee and ` 
the NRC have significant research efforts to evaluate this method, and 
to establish the feasibility of other methods. Another example is | 
found in the licensing review of the Zion and Indian Point plants which 


er | | 
are relatively near the large population centers of Chicago and New York. 


respectively. The focus of this review is to determine if any features 
Should be added to deal with accidents including core melt. Some 


features that have been suggested for evaluation include: vented-‘iltered 


containment systems, core retention systems, and hydrogen control syste 


C. Impact on NRC Research 


— — 





7 


i. Severe Accident Sequence Analysis 


+ > 


it was clear from the post-mortem of TMI-2 that significantly 


greater attention has to be given to analyzing a broader spectrun 
of events than those design basis events covered in conventione: 
safety analyses. In particular, we have to achieve bet under- 
Standing of the phenomenology of reactor accidents, especia 3 
breaks and transients, and of the interaction °“ the operato 

the machine during these multiple failure event: 

With these needs in mind, NRC has initiated a researc* 

the Severe Accident Sequence Analys SASA! or aT [t inc 
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analytical studies to explore the probable course of events and potential 
consequences of a spectrum of accidents extending veyond the current 

design basis in terms of system failures, core damage, and release of 
radioactivity to the environment. Particular emphasis is placed cn the 
perceptions of the operator, his needs for information, the alternative a 
actions he might take given various combinations of component failures, and 
the consequences of those actions. The analyses consider the various 
recovery options available to the operator änd the timing available for 
Such actions. 


These insights are being gained by applying best-estimate, state-of-the 
art codes (e.g., RELAP, TRAC, MARCH/CORRAL) to several specific plants. 
The accident sequences initially selected for anılysis have been 
determined according to their perceived contribution to risk (e.g. , 
station blackout, loss of feedwater) as suggested by documented 

risk assessments. 


Four national laboratories Idaho (INEL), Oak Ridge (ORNL), Los Alamos (LASL), 


and Sandia (SNL) are involved, each applying its particular strengths to 
the program. The tas*s include: 


- gathering information on specific plant designs, 

- identifying questions to be addressed and accident sequences 
to be analyzed, 

- generating operator action event trees, 

- calculating the physical response of the plant, 

- analyzing the results, and 

- relating them to the questions being addressed. 


This program can provide numerous opportunities for broadening our 
perspectives on reactor safety. Examples of results include: 


- delineation of accident management strategies, 

^ insights into basic variations in the response of | lants 
to given events as a function of plant design, 

- potential improvements in instrumentation, control room 
displays, and diagnostic equipment, 

- à handbook of accident signatures for use in improving 
simulators and operator training programs, and 

- criteria for assessing the adequacy of symptom-oriented 
emercency operating procedures. 


2. Degraded Core Cooling/Severe Core Damage 


The TMI-2 accident underlined the need for a better understanding of 
reactor behavior under severe core asnage conditions. For a reactor to 
be properly controlled during an accident of this type, and be brought 

to a successful and safe shutdown, the operators and engineers on the 





site, as well as advisory personnel off-site, require a well-founded 
data and analytical information base for fuel assembly behavior and 
damage at temperatures exceeding 2200^F; e.g., severe core damage. 


The research planned for severe core damage includes: (1) experiments 
in the Power Burst Facility (PBF) at the Idaho National Engineering 
Laboratories (INEL), (2) experiments in the Super Sara loop of the ESSOR 
reactor in Ispra, Italy, (3) examinatior of the Three Mile Island Unit 2 
core, (4) out-of-pile experiments on fue! debris coolability, and (5) 
out-of-pile experiments on incipient fuel/clad melting similar to those 
conducted here at Kfk. These tests seek to determine the progression of 
fuel damage and debris formation, and the rate of delivery of such 
materials to the region of the lower core support plate. A key set of 
data is that related to the heat transfer for cooling the damaged fue! 
by steam, as well as the gross flow characteristics of the damaged 


bundles. 


Modeling of severe core damag> is being initiated with the development 

of the SCDAP code which can be used as a submodule in larger accident 
analysis codes such as MARCH/-ORRAL to provide vhole core analysis 
capability. Initial versions of the code will draw heavily upon FRAPCON, 
FRAP-T, MATPRO and EXMEL models already developed, until new data is 
available from the experimental program. 


A new test series is being pianned in LOFT to investigate core uncovery 
phenomena up to and including very severe fue! damage. These tests wiil 
provide data with which to confirm severe core damage models and separate 


effects test results. 
3. Core Melt Research 
a. Fuel Melt Behavior 


Analyses of TMI accident sequences by the NRC Special Inquiry Group showed 
that, had restoration of cooling been delayed a little longer than it 

was, substantial melting of the core would be expected. The IMI Action 
Plan calls for research on phenomena associated with fuel meting 

and rulemaking for degraded core cooling. The state of technology for 
core melt accident assessment in WASH-1400 is embodied in the MARCH- 
CORRAL code. In WASH-1400 sequences, once core melt was reached, vessel 
melt-through and the subsequent dropping of the melt into the reactor 
cavity was assumed. Evaluation of core melt accidents has revealed major 
phenomenological uncertainties in the MARCH-CORRAL simplified models 

which require improved data and analytical deve'opment fcr fuel melt 
behavior for (a) accident management assessment, (b) consequence assessment 
for dominant accident sequences, and (c) design evaluations of possible 
mitigation features. 
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be addressed in this research are derived from 
related to assessing the threats to containment: 


a severe accident be cooled within the reactor 
ons must be satisfied to assure coolabitity? 


be exceeded and what information does the 
clude that an accident is progressing inexorably 


e meltdown, so that attention should 
ining containment integrity? 


on what time scales, can a melted core breach 
rt Structure and the reactor pressure vessel? 


n in the reactor vessel generate missiles to 


or can rapid steam generation from early 
on in the reactor cavity overload containment? 


be cooled in the reactor cavity? 

through the basemat? 

be overloaded by slow pressurization? 

a includes the following areas: (1) Transition 
| Debris Behavior, (3) Melt Interactions With 


iplosions, and (5) Severe Accident Analysis. 


(ase and Transport 


(including the reactor cavity concrete basemat); 


2. fission product and aerosol transport and deposition behavior within 
the reactor coolant system and containment; and 


3. the effectiveness of engineered safety and mitigation features 
in reducing the potential source term released from containment. 


Experimental and analytical programs are now in progress to address 
these needs. 


c. Hydrogen Program 


The TMI accident demonstrated forcefully to NRC that in-depth informa- 

tion on the formation, combustion, and handling of hydrogen in light 

water reactors was not immediately available, well organized, and in 

some cases non-existent. As a result, RSR began a program of research on 
hydrogen. This program provides for a compendium of hydrogen information 
and a program of analyses and experiments investigation: (1) the generation 
of hydrogen in reactor accidents, (2) the sampling and analysis of 
hydrogen, (3) the ignition of hydrogen/steam/air mixtures and the combustion 
of hydrogen in containment from deflagrations through detonations, (4) 

the pressure-time histories of hydrogen combustion events, (5) means of 
mitigating potential damage from hyórogen combustion, and (6) means of 
safely handling post-accident hydrogen. 





d. Mitigation 





rge Cooling Pipe in the 


DESIGN BASIS ACCIDENTS 





DR. T. E. MURLEY 
DIRECTOR OF SAFETY TECHNOLOGY 
U. S. NUCLEAR REGULATORY COMMISSION 


The TMI accident raised the question whether severe accidents beyond the 

design basis should be considered in the siting and licensing of nuclear 

reactors. The importance of maintaining containment integrity as a line 

of defense was apparent. In WASH-1400 the following containment failure 

modes were identified: steam explosions, hydrogen combustion/detonation, 
overpressure from a loss-of-cooling capability, basemat melt-through, 

and isolation failure or interfacing system LOCA. The latter is a 


AND ITS RELATION TO 


CURRENT REGULATORY ACTIVITIES" 
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LESSONS FROM THE TMI ACCIDENT 





Design Basis Accident Concept Is to Design the Reactor Plant 


commodate all Accidents Considered to Be Remotely Probable 
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"NRC'S CORE MELT RESEARCH PROGRAM 





ANNUAL COLLOQUIUM OF THE NUCLEAR SAFETY PROJECT (PNS) 





Design Basis Accidents (DBA) Are the Set of Severe Hypothetica 
| Acc 
Selected as a Basis for Evaluating the Satety Design of a Nuclear — 


Reactor (Loss -of -Coolant Acc ident - LOCA) 





Emergency Planning by Local Authorities Was Seriously Inadequate for 


The Most Severe DBA Is a Sudden Break of a La 





The TMI Accident Exceeded the Design Basis for the Plant in Many 


The Defense in Depth Philosophy Was Not Followed in Practice 


The NRC Was Not Prepared for Such a Severe Accident 


inti i h 
row ^p By q^ 19413 wm special case of isolation failure. The work on mitigation research is 
of the potential time-dependent fission product intended to analyze, test, and evaluate methods to improve containment 
om containment under accident conditions. To integrity by improving cooling, by allowing for controlled filtering and RO 
ve. it will be necessary to understand and model: venting to relieve overpressure prior to catastrophic failure, or by € £ 
j increasing the pressure which can be tolerated without failure. It is & D 
or and aerosol release from the fuel during intended to investigate core retention devices to prevent basemat penetration 2 > — 
ting, and interaction with plant structures and to reduce the contribution of gases generated by the core melt/concrete d š 
, interaction to containment overpressurization. Finally, methods and/or SH š < 2 
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devices to reduce the threat to containment integrity from hydrogen burning 
will be investigated. 
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